Suivre les attaques DDoS avec le tableau de bord Anti-DDoS

Objectif

Ce guide présente le tableau de bord Anti-DDoS et donne un aperçu des contre-mesures déclenchées par l'infrastructure Anti-DDoS d'OVHcloud lorsqu'une activité réseau malveillante est détectée. Il décrit également les protections supplémentaires que vous pouvez mettre en place pour maintenir vos services opérationnels. Des graphiques de trafic sont disponibles pour chaque adresse IP lors des événements de détection, pour vous aider à visualiser la situation.

Prérequis

• Un service OVHcloud exposé sur une adresse IP publique dédiée (Serveur dédié, VPS, Instance Public Cloud, Hosted Private Cloud, Additional IP, etc.)
• Être connecté à la console OVHcloud.

En pratique

Sécurité réseau

L'infrastructure Anti-DDoS d'OVHcloud est un système de défense distribué à plusieurs niveaux contre les cyberattaques. Elle se compose de plusieurs points de présence en périphérie du réseau et de centres de nettoyage qui analysent le trafic entrant et nettoient le trafic malveillant. Associée à l'Edge Network Firewall et à la protection Anti-DDoS Game, elle protège un large éventail de services.

L'infrastructure Anti-DDoS analyse en permanence le trafic entrant (détection) et, si nécessaire, le redirige vers nos centres de nettoyage situés dans des datacenters du monde entier (mitigation). Le trafic est alors analysé en profondeur, et les paquets malveillants sont filtrés avant que le trafic n'atteigne votre serveur ou votre service.

Pour les charges de travail à fort trafic réseau dont le trafic légitime peut ressembler à une attaque, comme les serveurs VPN, les serveurs de jeu ou les nœuds Solana, vous pouvez appliquer un profil de trafic réseau à vos adresses IP. Le profilage affine uniquement la manière dont votre trafic est analysé et mitigé : vos services restent protégés. Pour plus d'informations, consultez notre guide sur le profilage Anti-DDoS.

Que se passe-t-il lorsqu'une attaque atteint l'adresse IP de mon service ?

Chaque fois qu'une attaque est détectée sur une adresse IP de votre service, vous êtes averti par e-mail que son trafic a été redirigé via l'infrastructure Anti-DDoS. Vous pouvez également suivre ces périodes, avec des détails supplémentaires, dans le tableau de bord Anti-DDoS.

Pendant la bêta, ouvrez la console OVHcloud à l'aide du bouton Découvrir la console >BETA_ en haut à droite. Lors d'une attaque, celle-ci apparaît dans le Tableau de bord Anti-DDoS (Sécurité > Anti-DDoS), et le compteur Attaques en cours de l'adresse IP ciblée augmente. L'état de Mitigation DDoS de chaque adresse IP est indiqué sur sa propre page : dans la page Adresses IP, cliquez sur l'adresse IP, puis consultez la section Sécurité réseau de son onglet Vue d'ensemble.

État Anti-DDoS de vos adresses IP

Pendant la bêta, ouvrez la console OVHcloud à l'aide du bouton Découvrir la console >BETA_ en haut à droite. La page Adresses IP liste vos adresses IP publiques. Ses colonnes Alerte IP, Edge Firewall et Game Firewall indiquent l'état de chaque adresse IP. L'état Anti-DDoS de chaque adresse IP est indiqué sur sa propre page.

• Pour consulter l'état Anti-DDoS d'une adresse IP, cliquez dessus dans la liste. Dans son onglet Vue d'ensemble, la section Sécurité réseau indique son état de Mitigation DDoS, Automatique : l'infrastructure Anti-DDoS protège automatiquement cette adresse IP en cas de détection d'une attaque.

  La même section indique l'état Anti-Spam et Anti-Hack de l'adresse IP, ainsi qu'un lien Tableau de bord Anti-DDoS vers son trafic.

• La colonne Edge Firewall indique l'état de l'Edge Network Firewall :

  • Activé - L'Edge Network Firewall filtre le trafic entrant vers cette adresse IP.
  • Désactivé - Le trafic ne passe par l'Edge Network Firewall qu'en cas de détection d'une attaque. Le pare-feu est alors activé automatiquement.

  Pour configurer ses règles, cliquez sur l'état dans la colonne, ou cliquez sur l'adresse IP et ouvrez son onglet Edge Firewall.

• La colonne Game Firewall (uniquement pour les serveurs dédiés OVHcloud Game) peut indiquer :

  • Disponible - Le Game Firewall est disponible mais pas encore configuré. Configurez vos règles de protection de jeu pour qu'elles s'appliquent à cette adresse IP.
  • Configuré - Le Game Firewall est configuré pour cette adresse IP.
  • — - Le Game Firewall n'est pas disponible pour cette adresse IP, ce qui signifie qu'elle n'est pas associée à un serveur d'une gamme compatible.

  Pour le configurer, cliquez sur l'adresse IP et ouvrez son onglet Game Firewall.

• La colonne Alerte IP peut indiquer IP bloquée (anti-hack) ou IP bloquée (anti-spam).

Tableau de bord Anti-DDoS

Pendant la bêta, ouvrez la console OVHcloud à l'aide du bouton Découvrir la console >BETA_ en haut à droite, puis rendez-vous dans Sécurité > Anti-DDoS. Le Tableau de bord Anti-DDoS liste les attaques passées et en cours visant vos adresses IP. Vous pouvez filtrer la liste par service et par période (Jour, Semaine, Mois ou Année).

Le tableau contient les colonnes suivantes :

• Date de détection - Horodatage de la première détection de l'attaque.
• Date de fin - Horodatage de la fin de la mitigation par le centre de nettoyage.
• IP de destination - L'adresse IP ciblée par l'attaque.
• Vecteurs d'attaque - Les types d'attaques détectés, comme les attaques UDP ou TCP.

La durée de rétention du journal des attaques est d'un an.

Cliquez sur une attaque dans la liste pour ouvrir l'adresse IP ciblée. Son onglet Vue d'ensemble résume les attaques des 60 derniers jours : attaques totales, en cours et mitigées, et attaques par type. Son onglet Trafic affiche un graphique du trafic vers votre adresse IP lors des événements de détection, en bits par seconde (BPS) ou en paquets par seconde (PPS). En dehors de ces événements, l'onglet est vide.

Le graphique présente le trafic Légitime transmis à votre adresse IP et le trafic Filtré rejeté pendant les attaques. Des statistiques de mitigation de base sont également affichées pour la période sélectionnée, comme le nombre d'événements, les paquets rejetés, la bande passante nettoyée et le nombre d'attaques détectées.

La durée de rétention des données de trafic est de 60 jours.

FAQ

Pourquoi certaines attaques ne sont-elles pas visibles dans le tableau de bord Anti-DDoS ?

En fonction de la nature d'une attaque, différentes actions peuvent être entreprises pour éliminer au mieux la menace. Dans les deux cas, les attaques sont mitigées au plus près de leur origine :

• Lorsqu'une attaque arrive sur le réseau OVHcloud (externe), son trafic est redirigé vers les centres de nettoyage Anti-DDoS pour être nettoyé : l'attaque est donc visible dans le tableau de bord.
• Les attaques provenant de l'intérieur du réseau OVHcloud (internes) sont gérées par nos équipes de sécurité. La mitigation consiste alors à bloquer l'origine de l'attaque, ce qui n'est pas signalé par les systèmes de l'infrastructure Anti-DDoS.

Aucune attaque n'apparaît dans le tableau de bord Anti-DDoS. Est-ce normal ?

Oui. Cela signifie qu'aucune attaque présumée n'a ciblé vos adresses IP publiques pendant la période sélectionnée.

Pourquoi aucun graphique ni aucune donnée ne s'affiche pour une adresse IP que je saisis ?

Ces données ne sont disponibles que pour les adresses IP publiques lors des événements de détection automatique de l'infrastructure Anti-DDoS, lorsque le trafic est redirigé via un centre de nettoyage.

Pourquoi le graphique de trafic n'est-il pas disponible pour certaines attaques du tableau de bord Anti-DDoS ?

Les données de trafic ne sont disponibles que pour les 60 derniers jours, tandis que vous pouvez consulter les attaques de l'année écoulée.

Une attaque sur mon service persiste. Comment mieux protéger mon serveur ?

Certaines attaques peuvent être si spécifiques que l'infrastructure Anti-DDoS ne parvient pas à les détecter et à les nettoyer automatiquement. Dans ce cas, le pare-feu configuré sur votre serveur est votre meilleure option. Nous vous recommandons également de reporter certaines règles de pare-feu de votre serveur en périphérie de notre réseau, avec l'Edge Network Firewall. Pour savoir comment configurer ses règles, consultez notre guide sur l'Edge Network Firewall.

Si les attaques ne sont pas complètement mitigées, vous pouvez aussi rendre la détection plus agressive pour vos adresses IP en leur appliquant un profil de trafic réseau avec une sensibilité plus élevée. Pour plus d'informations, consultez notre guide sur le profilage Anti-DDoS.

Mon service est attaqué et je rencontre des problèmes sur mon serveur. Que puis-je faire de plus ?

L'infrastructure Anti-DDoS est conçue pour protéger le plus efficacement possible un large éventail de services. Dans certains cas spécifiques, un réglage supplémentaire peut être nécessaire, par exemple pour l'adapter à la nature ou à la taille de votre application.

Vous pouvez ajuster vous-même la protection avec le profilage Anti-DDoS, actuellement en bêta : appliquez à vos adresses IP un profil de trafic réseau et un niveau de sensibilité adaptés à votre charge de travail. Pour plus d'informations, consultez notre guide sur le profilage Anti-DDoS.

Si aucun profil ne correspond à votre charge de travail, ou si le problème persiste, rendez-vous dans notre centre d'aide et recherchez l'action appropriée dans la catégorie « Attaque réseau et/ou Anti-DDoS ».

Fournir des informations à OVHcloud

Dès que notre système Anti-DDoS doit être ajusté, vous devez nous fournir les informations suivantes pour que nous puissions comprendre votre cas et vous aider :

• Service hébergé sur le serveur concerné
• Date et heure de début de l'attaque
• Date et heure de fin de l'attaque
• Adresse(s) IP concernée(s)
• Service, protocole et port utilisés par le service concerné
• Taille du service (XS : 1-10, S : 10-100, M : 100-1k, L : 1-10k, XL : 10-100k, XXL : plus de 100k clients connectés)
• Autres services hébergés sur le serveur
• Autres ports utilisés sur le serveur
• Existe-t-il d'autres services sur des adresses IP distinctes : Oui/Non
• Si oui, lesquelles
• Du trafic légitime est-il rejeté : Oui/Non
• La connexion au serveur a-t-elle été perdue : Oui/Non
• Quel type de trafic légitime est rejeté

tcpdump -w capture-ovh -c 100000 port not ssh

Aller plus loin

Affiner la protection Anti-DDoS avec le profilage

Activer et configurer le Edge Network Firewall

Protéger un serveur Game avec le firewall applicatif

Échangez avec notre communauté d'utilisateurs.