DDoS-Angriffe mit dem Anti-DDoS-Dashboard überwachen

Ziel

Diese Anleitung erläutert das Anti-DDoS-Dashboard und gibt einen Überblick über die Gegenmaßnahmen, die von der DDoS-Schutz-Infrastruktur von OVHcloud ausgelöst werden, wenn schädliche Netzwerkaktivität erkannt wird. Außerdem werden die zusätzlichen Schutzmaßnahmen beschrieben, die Sie einrichten können, um den Betrieb Ihrer Dienste aufrechtzuerhalten. Für jede IP-Adresse stehen während Erkennungsereignissen Traffic-Diagramme zur Verfügung, die Ihnen helfen, die Situation zu veranschaulichen.

Voraussetzungen

• Sie verfügen über einen OVHcloud Dienst, der über eine dedizierte öffentliche IP-Adresse erreichbar ist (Dedicated Server, VPS, Public Cloud Instanz, Hosted Private Cloud, Additional IP etc.).
• Sie haben Zugriff auf die OVHcloud Konsole.

In der praktischen Anwendung

Netzwerksicherheit

Die DDoS-Schutz-Infrastruktur von OVHcloud ist ein mehrschichtiges, verteiltes Abwehrsystem gegen Cyberangriffe. Sie besteht aus mehreren Edge-Standorten und Scrubbing Centern, die den eingehenden Traffic analysieren und schädlichen Traffic bereinigen. Zusammen mit der Edge Network Firewall und dem Game DDoS-Schutz schützt sie ein breites Spektrum an Diensten.

Die DDoS-Schutz-Infrastruktur analysiert ständig den eingehenden Traffic (Erkennung) und leitet ihn bei Bedarf über unsere Scrubbing Center um, die sich in Rechenzentren auf der ganzen Welt befinden (Mitigation). Der Traffic wird dann eingehend analysiert, und schädliche Pakete werden herausgefiltert, bevor der Traffic Ihren Server oder Dienst erreicht.

Für netzwerkintensive Workloads, deren legitimer Traffic wie ein Angriff aussehen kann, etwa VPN-Server, Game-Server oder Solana-Knoten, können Sie Ihren IP-Adressen ein Netzwerk-Traffic-Profil zuweisen. Das Profiling verfeinert lediglich, wie Ihr Traffic analysiert und bereinigt wird: Ihre Dienste bleiben geschützt. Weitere Informationen finden Sie in unserer Anleitung zum Anti-DDoS-Profiling.

Was passiert, wenn ein Angriff die IP-Adresse meines Dienstes erreicht?

Jedes Mal, wenn ein Angriff auf eine IP-Adresse Ihres Dienstes erkannt wird, werden Sie per E-Mail darüber informiert, dass der Traffic dieser IP-Adresse über die DDoS-Schutz-Infrastruktur umgeleitet wurde. Sie können diese Mitigationsphasen auch im Anti-DDoS-Dashboard im Detail verfolgen.

Öffnen Sie während der Beta-Phase die OVHcloud Konsole über den Button Die Konsole entdecken >BETA_ oben rechts. Ein laufender Angriff wird im Anti-DDoS-Dashboard (Sicherheit > Anti-DDoS) aufgeführt, und der Zähler Laufende Angriffe der angegriffenen IP-Adresse wird erhöht. Der Status DDoS-Schutz jeder IP-Adresse wird auf ihrer eigenen Seite angezeigt: Klicken Sie auf der Seite IP-Adressen auf die IP-Adresse und sehen Sie sich dann den Abschnitt Netzwerksicherheit in ihrem Tab Übersicht an.

Anti-DDoS-Status Ihrer IP-Adressen

Öffnen Sie während der Beta-Phase die OVHcloud Konsole über den Button Die Konsole entdecken >BETA_ oben rechts. Die Seite IP-Adressen listet Ihre öffentlichen IP-Adressen auf, mit dem Status jeder Adresse in den Spalten IP-Warnung, Edge Firewall und Game Firewall. Der Anti-DDoS-Status einer IP-Adresse wird auf ihrer eigenen Seite angezeigt.

• Um den Anti-DDoS-Status einer IP-Adresse anzuzeigen, klicken Sie in der Liste darauf. Im Tab Übersicht zeigt der Abschnitt Netzwerksicherheit ihren Status DDoS-Schutz an, Automatisch: Die DDoS-Schutz-Infrastruktur schützt diese IP-Adresse automatisch, wenn ein Angriff erkannt wird.

  Derselbe Abschnitt zeigt den Status Anti-Spam und Anti-Hack der IP-Adresse sowie einen Link Anti-DDoS-Dashboard zu ihrem Traffic an.

• Die Spalte Edge Firewall zeigt den Status der Edge Network Firewall an:

  • Aktiviert - Die Edge Network Firewall filtert den eingehenden Traffic zu dieser IP-Adresse.
  • Deaktiviert - Der Traffic durchläuft die Edge Network Firewall nur, wenn ein Angriff erkannt wird. Die Firewall wird dann automatisch aktiviert.

  Um ihre Regeln zu konfigurieren, klicken Sie auf den Status in der Spalte oder klicken Sie auf die IP-Adresse und öffnen Sie deren Tab Edge Firewall.

• Die Spalte Game Firewall (nur für OVHcloud Game Dedicated Server) kann Folgendes anzeigen:

  • Verfügbar - Die Game Firewall ist verfügbar, aber noch nicht konfiguriert. Konfigurieren Sie Ihre Regeln für die Game Firewall, damit sie für diese IP-Adresse gelten.
  • Konfiguriert - Die Game Firewall ist für diese IP-Adresse konfiguriert.
  • — - Die Game Firewall ist für diese IP-Adresse nicht verfügbar. Das bedeutet, dass die IP-Adresse keiner unterstützten Produktreihe zugeordnet ist.

  Um sie zu konfigurieren, klicken Sie auf die IP-Adresse und öffnen Sie deren Tab Game Firewall.

• Die Spalte IP-Warnung kann Blockierte IP (Hack-Schutz) oder Blockierte IP (Spamschutz) anzeigen.

Anti-DDoS-Dashboard

Öffnen Sie während der Beta-Phase die OVHcloud Konsole über den Button Die Konsole entdecken >BETA_ oben rechts und gehen Sie dann zu Sicherheit > Anti-DDoS. Das Anti-DDoS-Dashboard listet die vergangenen und laufenden Angriffe auf Ihre IP-Adressen auf. Sie können die Liste nach Dienst und nach Zeitraum filtern (Tag, Woche, Monat oder Jahr).

Die Tabelle enthält die folgenden Spalten:

• Erkennungsdatum - Zeitstempel der ersten Erkennung des Angriffs.
• Enddatum - Zeitstempel, zu dem das Scrubbing Center die Mitigation abgeschlossen hat.
• Ziel-IP - Die vom Angriff betroffene IP-Adresse.
• Angriffsvektoren - Die erkannten Angriffsarten, etwa UDP- oder TCP-Angriffe.

Die Aufbewahrungsdauer für das Angriffsprotokoll beträgt 1 Jahr.

Klicken Sie in der Liste auf einen Angriff, um die angegriffene IP-Adresse zu öffnen. Deren Tab Übersicht fasst die Angriffe der letzten 60 Tage zusammen: Angriffe insgesamt, laufende und abgewehrte Angriffe sowie Angriffe nach Typ. Der Tab Traffic zeigt während Erkennungsereignissen ein Diagramm des Traffics zu Ihrer IP-Adresse in Bits pro Sekunde (BPS) oder Paketen pro Sekunde (PPS). Außerhalb dieser Ereignisse ist der Tab leer.

Das Diagramm zeigt als Legitim den an Ihre IP-Adresse zugestellten Traffic und als Gefiltert den während Angriffen verworfenen Traffic. Für den ausgewählten Zeitraum werden außerdem grundlegende Statistiken zur Mitigation angezeigt, etwa die Anzahl der Ereignisse, die verworfenen Pakete, die bereinigte Bandbreite und die Anzahl der erkannten Angriffe.

Die Aufbewahrungsdauer für Traffic-Daten beträgt 60 Tage.

FAQ

Warum werden einige Angriffe nicht im Anti-DDoS-Dashboard angezeigt?

Je nach Art eines Angriffs können unterschiedliche Maßnahmen ergriffen werden, um die Bedrohung bestmöglich zu beseitigen. In beiden Fällen werden Angriffe so nah wie möglich an ihrem Ursprung abgewehrt:

• Wenn ein Angriff von außen in das OVHcloud Netzwerk gelangt (extern), wird sein Traffic zur Bereinigung an die Scrubbing Center des DDoS-Schutzes umgeleitet, und der Angriff ist daher im Dashboard sichtbar.
• Angriffe, die innerhalb des OVHcloud Netzwerks entstehen (intern), werden von unseren Sicherheitsteams behandelt. Die Mitigation konzentriert sich dabei auf das Blockieren des Angriffsursprungs und wird von den Systemen der DDoS-Schutz-Infrastruktur nicht gemeldet.

Im Anti-DDoS-Dashboard wird kein Angriff angezeigt. Ist das normal?

Ja. Das bedeutet, dass im ausgewählten Zeitraum kein vermuteter Angriff auf Ihre öffentlichen IP-Adressen abzielte.

Warum werden für eine von mir eingegebene IP-Adresse kein Traffic-Diagramm und keine Daten angezeigt?

Diese Daten sind für öffentliche IP-Adressen nur während automatischer Erkennungsereignisse der DDoS-Schutz-Infrastruktur verfügbar, wenn der Traffic über ein Scrubbing Center umgeleitet wird.

Warum ist das Traffic-Diagramm für einige Angriffe im Anti-DDoS-Dashboard nicht verfügbar?

Traffic-Daten sind nur für die letzten 60 Tage verfügbar, während Angriffe für das vergangene Jahr eingesehen werden können.

Ein Angriff auf meinen Dienst hält an. Wie kann ich meinen Server besser schützen?

Einige Angriffe können so spezifisch sein, dass die DDoS-Schutz-Infrastruktur sie nicht automatisch erkennen und bereinigen kann. In solchen Fällen ist die auf Ihrem Server konfigurierte Firewall Ihre beste Option. Wir empfehlen außerdem, einige Regeln Ihrer Server-Firewall mit der Edge Network Firewall an den Rand unseres Netzwerks zu verlagern. Weitere Informationen zur Konfiguration ihrer Regeln finden Sie in unserer Anleitung zur Edge Network Firewall.

Wenn Angriffe nicht gründlich genug abgewehrt werden, können Sie die Erkennung für Ihre IP-Adressen auch aggressiver einstellen, indem Sie ein Netzwerk-Traffic-Profil mit höherer Empfindlichkeit anwenden. Weitere Informationen finden Sie in unserer Anleitung zum Anti-DDoS-Profiling.

Mein Dienst wird angegriffen und ich habe Probleme mit meinem Server. Was kann ich sonst noch tun?

Die DDoS-Schutz-Infrastruktur ist darauf ausgelegt, ein breites Spektrum an Diensten so effizient wie möglich zu schützen. In bestimmten Fällen kann eine zusätzliche Feinabstimmung erforderlich sein, zum Beispiel um sie an die Art oder die Größe Ihrer Anwendung anzupassen.

Mit dem Anti-DDoS-Profiling, das sich derzeit in der Beta-Phase befindet, können Sie diese Feinabstimmung selbst vornehmen: Wählen Sie ein Netzwerk-Traffic-Profil und eine Empfindlichkeitsstufe, die zu Ihrem Workload passen, und wenden Sie diese auf Ihre IP-Adressen an. Weitere Informationen finden Sie in unserer Anleitung zum Anti-DDoS-Profiling.

Wenn kein Profil zu Ihrem Workload passt oder das Problem weiterhin besteht, besuchen Sie unser Help Center und suchen Sie nach der passenden Aktion in der Kategorie "Netzwerkangriff und/oder DDoS-Schutz".

Informationen für OVHcloud bereitstellen

Sobald eine Anpassung unseres Anti-DDoS-Systems erforderlich ist, müssen Sie uns die folgenden Angaben übermitteln, damit wir Ihren Fall verstehen und Ihnen helfen können:

• Auf dem betroffenen Server gehosteter Dienst
• Datum und Uhrzeit des Angriffsbeginns
• Datum und Uhrzeit des Angriffsendes
• Betroffene IP-Adresse(n)
• Dienst, Protokoll und Port, die vom betroffenen Dienst verwendet werden
• Größe des Dienstes (XS: 1-10, S: 10-100, M: 100-1k, L: 1-10k, XL: 10-100k, XXL: 100k+ verbundene Clients)
• Andere auf dem Server gehostete Dienste
• Andere auf dem Server verwendete Ports
• Gibt es weitere Dienste auf separaten IP-Adressen: Ja/Nein
• Wenn ja, welche IP-Adressen
• Wird legitimer Traffic verworfen: Ja/Nein
• Wurde die Verbindung zum Server unterbrochen: Ja/Nein
• Welche Art von legitimem Traffic wird verworfen

tcpdump -w capture-ovh -c 100000 port not ssh

Weiterführende Informationen

DDoS-Schutz mit Profiling feinabstimmen

Aktivieren und Konfigurieren der Edge Network Firewall

Game Server mit der Application Firewall schützen

Treten Sie unserer User Community bei.