Monitorowanie ataków DDoS za pomocą panelu Anti-DDoS

Wprowadzenie

Ten przewodnik omawia panel Anti-DDoS i przedstawia przegląd środków zaradczych uruchamianych przez infrastrukturę Anty-DDoS OVHcloud w przypadku wykrycia złośliwej aktywności sieciowej. Opisuje również dodatkowe zabezpieczenia, które możesz wdrożyć, aby zapewnić ciągłość działania swoich usług. Dla każdego adresu IP w trakcie zdarzeń wykrywania dostępne są wykresy ruchu, które pomagają zobrazować sytuację.

Wymagania początkowe

• Usługa OVHcloud udostępniona na dedykowanym publicznym adresie IP (Serwer dedykowany, VPS, instancja Public Cloud, Hosted Private Cloud, Additional IP itp.)
• Dostęp do konsoli OVHcloud.

W praktyce

Bezpieczeństwo sieci

Infrastruktura Anty-DDoS OVHcloud to wielowarstwowy, rozproszony system ochrony przed cyberatakami. Składa się z wielu lokalizacji na brzegu sieci oraz centrów oczyszczania, które analizują ruch przychodzący i oczyszczają go ze złośliwego ruchu. Wraz z Edge Network Firewall i ochroną Anty-DDoS Game chroni ona szeroki zakres usług.

Infrastruktura Anty-DDoS stale analizuje ruch przychodzący (wykrywanie) i w razie potrzeby przekierowuje go przez nasze centra oczyszczania zlokalizowane w centrach danych na całym świecie (mitygacja). Ruch jest wówczas dogłębnie analizowany, a złośliwe pakiety są odfiltrowywane, zanim ruch dotrze do Twojego serwera lub usługi.

W przypadku obciążeń roboczych intensywnie wykorzystujących sieć, których prawidłowy ruch może przypominać atak, takich jak serwery VPN, serwery gier czy węzły Solana, możesz przypisać swoim adresom IP profil ruchu sieciowego. Profilowanie jedynie precyzuje sposób analizy i mitygacji Twojego ruchu: Twoje usługi pozostają chronione. Więcej informacji znajdziesz w naszym przewodniku dotyczącym profilowania Anty-DDoS.

Co się stanie, gdy atak dotrze do adresu IP mojej usługi?

Za każdym razem, gdy zostanie wykryty atak na adres IP Twojej usługi, otrzymasz e-mail z informacją, że jego ruch został przekierowany przez infrastrukturę Anty-DDoS. Te okresy mitygacji możesz również monitorować bardziej szczegółowo w panelu Anti-DDoS.

W fazie beta otwórz konsolę OVHcloud za pomocą przycisku Odkryj konsolę >BETA_ w prawym górnym rogu. Trwający atak pojawia się na liście na stronie Panel Anti-DDoS (Bezpieczeństwo > Anti-DDoS), a licznik Trwające ataki docelowego adresu IP zwiększa się. Status Ochrona DDoS każdego adresu IP jest wyświetlany na jego własnej stronie: na stronie Adresy IP kliknij adres IP, a następnie sprawdź sekcję Bezpieczeństwo sieci na jego karcie Przegląd.

Status Anty-DDoS Twoich adresów IP

W fazie beta otwórz konsolę OVHcloud za pomocą przycisku Odkryj konsolę >BETA_ w prawym górnym rogu. Strona Adresy IP zawiera listę Twoich publicznych adresów IP wraz ze statusem każdego z nich w kolumnach Alert IP, Edge Firewall i Game Firewall. Status Anty-DDoS adresu IP jest wyświetlany na jego własnej stronie.

• Aby wyświetlić status Anty-DDoS adresu IP, kliknij go na liście. Na jego karcie Przegląd sekcja Bezpieczeństwo sieci pokazuje jego status Ochrona DDoS, Automatyczna: infrastruktura Anty-DDoS automatycznie chroni ten adres IP w przypadku wykrycia ataku.

  W tej samej sekcji wyświetlany jest status Anti-Spam i Anti-Hack adresu IP oraz link Panel Anti-DDoS prowadzący do jego ruchu.

• Kolumna Edge Firewall pokazuje status Edge Network Firewall:

  • Włączony - Edge Network Firewall filtruje ruch przychodzący do tego adresu IP.
  • Wyłączony - Ruch przechodzi przez Edge Network Firewall tylko w przypadku wykrycia ataku. Firewall jest wtedy aktywowany automatycznie.

  Aby skonfigurować jego reguły, kliknij status w kolumnie lub kliknij adres IP i otwórz jego kartę Edge Firewall.

• Kolumna Game Firewall (tylko dla serwerów dedykowanych OVHcloud Game) może pokazywać:

  • Dostępny - Game Firewall jest dostępny, ale nie został jeszcze skonfigurowany. Skonfiguruj reguły ochrony gier, aby obejmowały ten adres IP.
  • Skonfigurowany - Game Firewall jest skonfigurowany dla tego adresu IP.
  • — - Game Firewall nie jest dostępny dla tego adresu IP, co oznacza, że adres ten nie jest skonfigurowany w obsługiwanej gamie produktów.

  Aby go skonfigurować, kliknij adres IP i otwórz jego kartę Game Firewall.

• Kolumna Alert IP może pokazywać Adres IP zablokowany (anti-hack) lub Adres IP zablokowany (ochrona przed spamem).

Panel Anti-DDoS

W fazie beta otwórz konsolę OVHcloud za pomocą przycisku Odkryj konsolę >BETA_ w prawym górnym rogu, a następnie przejdź do sekcji Bezpieczeństwo > Anti-DDoS. Strona Panel Anti-DDoS zawiera listę wcześniejszych i trwających ataków na Twoje adresy IP. Listę możesz filtrować według usługi i okresu (Dzień, Tydzień, Miesiąc lub Rok).

Tabela zawiera następujące kolumny:

• Data wykrycia - Sygnatura czasowa pierwszego wykrycia ataku.
• Data zakończenia - Sygnatura czasowa zakończenia mitygacji przez centrum oczyszczania.
• Docelowy adres IP - Adres IP, który był celem ataku.
• Wektory ataku - Typy wykrytych ataków, takie jak ataki UDP lub TCP.

Okres przechowywania danych dziennika ataków wynosi 1 rok.

Kliknij atak na liście, aby otworzyć stronę docelowego adresu IP. Jego karta Przegląd zawiera podsumowanie ataków z ostatnich 60 dni: łączną liczbę ataków, ataki trwające i ataki poddane mitygacji oraz ataki według typu. Jego karta Ruch przedstawia w trakcie zdarzeń wykrywania wykres ruchu do Twojego adresu IP w bitach na sekundę (BPS) lub w pakietach na sekundę (PPS). Poza tymi zdarzeniami karta jest pusta.

Wykres przedstawia ruch Prawidłowy dostarczony do Twojego adresu IP oraz ruch Przefiltrowany odrzucony podczas ataków. Dla wybranego okresu wyświetlane są również podstawowe statystyki mitygacji, takie jak liczba zdarzeń, odrzucone pakiety, oczyszczona przepustowość i liczba wykrytych ataków.

Okres przechowywania danych o ruchu wynosi 60 dni.

FAQ

Dlaczego niektóre ataki nie są wyświetlane w panelu Anti-DDoS?

W zależności od charakteru ataku mogą zostać podjęte różne działania, aby jak najskuteczniej wyeliminować zagrożenie. W obu przypadkach mitygacja ataków odbywa się jak najbliżej ich źródła:

• Gdy atak napływa do sieci OVHcloud z zewnątrz (zewnętrzny), jego ruch jest przekierowywany do centrów oczyszczania Anty-DDoS w celu oczyszczenia, dlatego atak jest widoczny w panelu.
• Ataki pochodzące z wnętrza sieci OVHcloud (wewnętrzne) są obsługiwane przez nasze zespoły ds. bezpieczeństwa. Mitygacja polega wówczas na zablokowaniu źródła ataku i nie jest raportowana przez systemy infrastruktury Anty-DDoS.

W panelu Anti-DDoS nie jest wyświetlany żaden atak. Czy to normalne?

Tak. Oznacza to, że w wybranym okresie żaden podejrzewany atak nie był skierowany na Twoje publiczne adresy IP.

Dlaczego dla wprowadzonego przeze mnie adresu IP nie jest wyświetlany wykres ruchu ani żadne dane?

Dane te są dostępne wyłącznie dla publicznych adresów IP w trakcie zdarzeń automatycznego wykrywania przez infrastrukturę Anty-DDoS, gdy ruch jest przekierowywany przez centrum oczyszczania.

Dlaczego wykres ruchu nie jest dostępny dla niektórych ataków w panelu Anti-DDoS?

Dane o ruchu są dostępne tylko z ostatnich 60 dni, natomiast ataki można przeglądać z ostatniego roku.

Atak na moją usługę nie ustaje. Jak mogę lepiej chronić swój serwer?

Niektóre ataki mogą być tak specyficzne, że infrastruktura Anty-DDoS nie jest w stanie automatycznie ich wykryć i oczyścić. W takich przypadkach najlepszym rozwiązaniem jest firewall skonfigurowany na Twoim serwerze. Zalecamy również przeniesienie niektórych reguł firewalla serwera na brzeg naszej sieci za pomocą Edge Network Firewall. Więcej informacji na temat konfigurowania jego reguł znajdziesz w naszym przewodniku dotyczącym Edge Network Firewall.

Jeśli mitygacja ataków nie jest wystarczająco skuteczna, możesz również zwiększyć agresywność wykrywania dla swoich adresów IP, przypisując im profil ruchu sieciowego o wyższej czułości. Więcej informacji znajdziesz w naszym przewodniku dotyczącym profilowania Anty-DDoS.

Moja usługa jest atakowana i mam problemy z serwerem. Co jeszcze mogę zrobić?

Infrastruktura Anty-DDoS została zaprojektowana tak, aby jak najskuteczniej chronić szeroki zakres usług. W niektórych szczególnych przypadkach może wymagać dodatkowego dostrojenia, na przykład w celu dopasowania jej do charakteru lub rozmiaru Twojej aplikacji.

Możesz ją samodzielnie dostroić za pomocą profilowania Anty-DDoS, które jest obecnie dostępne w fazie beta: wybierz profil ruchu sieciowego i poziom czułości dostosowane do Twojego obciążenia roboczego i przypisz je swoim adresom IP. Więcej informacji znajdziesz w naszym przewodniku dotyczącym profilowania Anty-DDoS.

Jeśli żaden profil nie odpowiada Twojemu obciążeniu roboczemu lub problem nie ustępuje, odwiedź nasze centrum pomocy i wyszukaj odpowiednie działanie w kategorii "Atak sieciowy i/lub ochrona Anty-DDoS".

Przekazanie informacji do OVHcloud

Za każdym razem, gdy nasz system Anty-DDoS wymaga dostosowania, musisz przekazać nam następujące informacje, abyśmy mogli zrozumieć Twoją sytuację i Ci pomóc:

• Usługa hostowana na serwerze, którego dotyczy problem
• Data i godzina rozpoczęcia ataku
• Data i godzina zakończenia ataku
• Adres lub adresy IP, których dotyczy problem
• Usługa, protokół i port używane przez usługę, której dotyczy problem
• Rozmiar usługi (XS: 1-10, S: 10-100, M: 100-1k, L: 1-10k, XL: 10-100k, XXL: ponad 100k podłączonych klientów)
• Inne usługi hostowane na serwerze
• Inne porty używane na serwerze
• Czy na oddzielnych adresach IP działają inne usługi: Tak/Nie
• Jeśli tak, na których adresach IP
• Czy prawidłowy ruch jest odrzucany: Tak/Nie
• Czy połączenie z serwerem zostało utracone: Tak/Nie
• Jaki rodzaj prawidłowego ruchu jest odrzucany

tcpdump -w capture-ovh -c 100000 port not ssh

Sprawdź również

Dostrajanie ochrony Anty-DDoS za pomocą profilowania

Aktywacja i konfiguracja Edge Network Firewall

Ochrona serwera gier za pomocą firewalla aplikacyjnego

Dołącz do grona naszych użytkowników.