Monitorare gli attacchi DDoS con la dashboard Anti-DDoS

Obiettivo

Questa guida presenta la dashboard Anti-DDoS e offre una panoramica delle contromisure attivate dall'infrastruttura anti-DDoS di OVHcloud quando viene rilevata un'attività di rete malevola. Descrive inoltre le protezioni aggiuntive che potete implementare per mantenere operativi i vostri servizi. Durante gli eventi di rilevamento, per ogni indirizzo IP sono disponibili dei grafici del traffico, che vi aiutano a visualizzare la situazione.

Prerequisiti

• Un servizio OVHcloud esposto su un indirizzo IP pubblico dedicato (Server dedicato, VPS, Istanza Public Cloud, Hosted Private Cloud, Additional IP, ecc.)
• Essere connessi alla console OVHcloud.

Procedura

Sicurezza di rete

L'infrastruttura anti-DDoS di OVHcloud è un sistema di difesa distribuito e multilivello contro gli attacchi informatici. È composta da diversi punti di presenza sul perimetro della rete e da centri di pulitura che analizzano il traffico in entrata e ripuliscono il traffico malevolo. Insieme all'Edge Network Firewall e alla protezione Anti-DDoS Game, protegge un'ampia gamma di servizi.

L'infrastruttura anti-DDoS analizza costantemente il traffico in entrata (rilevamento) e, se necessario, lo reindirizza verso i nostri centri di pulitura situati in datacenter di tutto il mondo (mitigazione). Il traffico viene quindi analizzato in profondità e i pacchetti malevoli vengono filtrati prima che il traffico raggiunga il vostro server o servizio.

Per i carichi di lavoro con un traffico di rete elevato, il cui traffico legittimo può somigliare a un attacco, come i server VPN, i server di gioco o i nodi Solana, potete applicare un profilo di traffico di rete ai vostri indirizzi IP. La profilazione perfeziona solo il modo in cui il vostro traffico viene analizzato e mitigato: i vostri servizi restano protetti. Per maggiori informazioni, consultate la nostra guida sulla profilazione anti-DDoS.

Cosa succede quando un attacco raggiunge l'indirizzo IP del mio servizio?

Ogni volta che viene rilevato un attacco su un indirizzo IP del vostro servizio, ricevete un'email che vi informa che il suo traffico è stato reindirizzato attraverso l'infrastruttura anti-DDoS. Potete anche monitorare questi periodi, con ulteriori dettagli, nella dashboard Anti-DDoS.

Durante la beta, aprite la console OVHcloud tramite il pulsante Scoprire la console >BETA_ in alto a destra. Un attacco in corso compare nella Dashboard Anti-DDoS (Sicurezza > Anti-DDoS) e il contatore Attacchi in corso dell'indirizzo IP preso di mira aumenta. Lo stato di Mitigazione DDoS di ogni indirizzo IP è indicato nella relativa pagina: nella pagina Indirizzi IP, cliccate sull'indirizzo IP, quindi consultate la sezione Sicurezza di rete della sua scheda Panoramica.

Stato anti-DDoS dei vostri indirizzi IP

Durante la beta, aprite la console OVHcloud tramite il pulsante Scoprire la console >BETA_ in alto a destra. La pagina Indirizzi IP elenca i vostri indirizzi IP pubblici. Le sue colonne Alert IP, Edge Firewall e Game Firewall indicano lo stato di ogni indirizzo IP. Lo stato anti-DDoS di ogni indirizzo IP è indicato nella relativa pagina.

• Per consultare lo stato anti-DDoS di un indirizzo IP, cliccate sull'indirizzo nell'elenco. Nella sua scheda Panoramica, la sezione Sicurezza di rete indica il suo stato di Mitigazione DDoS, Automatico: l'infrastruttura anti-DDoS protegge automaticamente questo indirizzo IP quando viene rilevato un attacco.

  La stessa sezione indica lo stato Anti-Spam e Anti-Hack dell'indirizzo IP, oltre a un link Dashboard Anti-DDoS verso il suo traffico.

• La colonna Edge Firewall indica lo stato dell'Edge Network Firewall:

  • Attivato - L'Edge Network Firewall filtra il traffico in entrata verso questo indirizzo IP.
  • Disattivato - Il traffico passa attraverso l'Edge Network Firewall solo quando viene rilevato un attacco. Il firewall viene allora attivato automaticamente.

  Per configurarne le regole, cliccate sullo stato nella colonna, oppure cliccate sull'indirizzo IP e aprite la sua scheda Edge Firewall.

• La colonna Game Firewall (solo per i server dedicati OVHcloud Game) può indicare:

  • Disponibile - Il Game Firewall è disponibile ma non ancora configurato. Configurate le vostre regole di protezione di gioco affinché si applichino a questo indirizzo IP.
  • Configurato - Il Game Firewall è configurato per questo indirizzo IP.
  • — - Il Game Firewall non è disponibile per questo indirizzo IP, il che significa che l'indirizzo non è associato a un server di una gamma compatibile.

  Per configurarlo, cliccate sull'indirizzo IP e aprite la sua scheda Game Firewall.

• La colonna Alert IP può indicare IP bloccato (anti-hack) o IP bloccato (anti-spam).

Dashboard Anti-DDoS

Durante la beta, aprite la console OVHcloud tramite il pulsante Scoprire la console >BETA_ in alto a destra, quindi accedete a Sicurezza > Anti-DDoS. La Dashboard Anti-DDoS elenca gli attacchi passati e in corso diretti ai vostri indirizzi IP. Potete filtrare l'elenco per servizio e per periodo (Giorno, Settimana, Mese o Anno).

La tabella contiene le colonne seguenti:

• Data di rilevamento - Data e ora del primo rilevamento dell'attacco.
• Data di fine - Data e ora della fine della mitigazione da parte del centro di pulitura.
• IP di destinazione - L'indirizzo IP preso di mira dall'attacco.
• Vettori d'attacco - I tipi di attacchi rilevati, come gli attacchi UDP o TCP.

Il periodo di conservazione del registro degli attacchi è di un anno.

Cliccate su un attacco nell'elenco per aprire l'indirizzo IP preso di mira. La sua scheda Panoramica riassume gli attacchi degli ultimi 60 giorni: attacchi totali, in corso e mitigati, e attacchi per tipo. La sua scheda Traffico mostra un grafico del traffico verso il vostro indirizzo IP durante gli eventi di rilevamento, in bit al secondo (BPS) o in pacchetti al secondo (PPS). Al di fuori di questi eventi, la scheda è vuota.

Il grafico mostra il traffico Legittimo inoltrato al vostro indirizzo IP e il traffico Filtrato scartato durante gli attacchi. Per il periodo selezionato vengono visualizzate anche alcune statistiche di base sulla mitigazione, come il numero di eventi, i pacchetti scartati, la banda ripulita e il numero di attacchi rilevati.

Il periodo di conservazione dei dati di traffico è di 60 giorni.

FAQ

Perché alcuni attacchi non sono visibili nella dashboard Anti-DDoS?

A seconda della natura di un attacco, possono essere intraprese azioni diverse per eliminare al meglio la minaccia. In entrambi i casi, gli attacchi vengono mitigati il più vicino possibile alla loro origine:

• Quando un attacco arriva sulla rete OVHcloud (esterno), il suo traffico viene reindirizzato verso i centri di pulitura anti-DDoS per essere ripulito: l'attacco è quindi visibile nella dashboard.
• Gli attacchi provenienti dall'interno della rete OVHcloud (interni) sono gestiti dai nostri team di sicurezza. La mitigazione consiste allora nel bloccare l'origine dell'attacco, operazione che non viene segnalata dai sistemi dell'infrastruttura anti-DDoS.

Nella dashboard Anti-DDoS non compare alcun attacco. È normale?

Sì. Significa che nessun presunto attacco ha preso di mira i vostri indirizzi IP pubblici durante il periodo selezionato.

Perché non viene visualizzato alcun grafico né alcun dato per un indirizzo IP che inserisco?

Questi dati sono disponibili solo per gli indirizzi IP pubblici durante gli eventi di rilevamento automatico dell'infrastruttura anti-DDoS, quando il traffico viene reindirizzato attraverso un centro di pulitura.

Perché il grafico del traffico non è disponibile per alcuni attacchi della dashboard Anti-DDoS?

I dati di traffico sono disponibili solo per gli ultimi 60 giorni, mentre potete consultare gli attacchi dell'ultimo anno.

Un attacco al mio servizio persiste. Come posso proteggere meglio il mio server?

Alcuni attacchi possono essere così specifici che l'infrastruttura anti-DDoS non riesce a rilevarli e a ripulirli automaticamente. In questo caso, il firewall configurato sul vostro server è la soluzione migliore. Vi consigliamo inoltre di spostare alcune regole firewall del vostro server sul perimetro della nostra rete, con l'Edge Network Firewall. Per sapere come configurarne le regole, consultate la nostra guida sull'Edge Network Firewall.

Se gli attacchi non vengono mitigati completamente, potete anche rendere il rilevamento più aggressivo per i vostri indirizzi IP applicando loro un profilo di traffico di rete con una sensibilità più elevata. Per maggiori informazioni, consultate la nostra guida sulla profilazione anti-DDoS.

Il mio servizio è sotto attacco e riscontro problemi sul mio server. Cos'altro posso fare?

L'infrastruttura anti-DDoS è progettata per proteggere nel modo più efficace possibile un'ampia gamma di servizi. In alcuni casi specifici può essere necessaria una regolazione aggiuntiva, ad esempio per adattarla alla natura o alle dimensioni della vostra applicazione.

Potete regolare voi stessi la protezione con la profilazione anti-DDoS, attualmente in beta: applicate ai vostri indirizzi IP un profilo di traffico di rete e un livello di sensibilità adatti al vostro carico di lavoro. Per maggiori informazioni, consultate la nostra guida sulla profilazione anti-DDoS.

Se nessun profilo corrisponde al vostro carico di lavoro, o se il problema persiste, visitate il nostro centro assistenza e cercate l'azione appropriata nella categoria "Attacco di rete e/o Anti-DDoS".

Fornire informazioni a OVHcloud

Ogni volta che il nostro sistema anti-DDoS deve essere regolato, dovete fornirci le informazioni seguenti affinché possiamo comprendere il vostro caso e aiutarvi:

• Servizio ospitato sul server interessato
• Data e ora di inizio dell'attacco
• Data e ora di fine dell'attacco
• Indirizzi IP interessati
• Servizio, protocollo e porta utilizzati dal servizio interessato
• Dimensioni del servizio (XS: 1-10, S: 10-100, M: 100-1k, L: 1-10k, XL: 10-100k, XXL: oltre 100k client connessi)
• Altri servizi ospitati sul server
• Altre porte utilizzate sul server
• Esistono altri servizi su indirizzi IP distinti: Sì/No
• In caso affermativo, quali
• Il traffico legittimo viene scartato: Sì/No
• La connessione al server è stata persa: Sì/No
• Quale tipo di traffico legittimo viene scartato

tcpdump -w capture-ovh -c 100000 port not ssh

Per saperne di più

Perfezionare la protezione anti-DDoS con la profilazione

Attivare e configurare Edge Network Firewall

Proteggere un server game con il firewall dell'applicazione

Contatta la nostra Community di utenti.