Objetivo

A proteção DDoS VAC cobre, por predefinição, todos os serviços OVHcloud, sem configuração nem custos adicionais. O VAC é um dos principais elementos da infraestrutura Anti-DDoS da OVHcloud: uma combinação de tecnologias, desenvolvidas continuamente pela OVHcloud, que filtra o tráfego de entrada para que apenas os pacotes legítimos cheguem ao seu servidor. A deteção baseia-se na forma do tráfego: taxa de pacotes, renovação das ligações, aumentos súbitos de volume ou assinaturas de tráfego conhecidas.

Esta deteção genérica é adequada para a maioria das aplicações protegidas, mas ainda pode interpretar mal determinadas cargas de trabalho mais específicas, ainda que legítimas: um túnel WireGuard muito solicitado assemelha-se a um flood UDP, e o afluxo de espectadores durante um evento em direto assemelha-se a um ataque volumétrico.

A funcionalidade de definição de perfis permite-lhe descrever com precisão este tipo de serviço, em vez de contornar a proteção. Escolha um perfil no catálogo, selecione um nível de sensibilidade e associe os seus serviços. Uma única alteração de uma política reajusta todos os endereços que lhe estão associados. Se a sua carga de trabalho evoluir, mude de perfil ou ajuste a sensibilidade.

Este guia explica como:

• reconhecer os casos em que a sua aplicação precisa de um perfil.
• ativar a definição de perfis na sua conta e criar uma política.
• aplicar uma política aos seus endereços IP e compreender o respetivo estado.
• ajustar, desativar ou eliminar uma política, e medir o seu efeito.

Requisitos

• Dispor de, pelo menos, um serviço OVHcloud com um endereço IPv4 público.
• Estar ligado à consola OVHcloud.

Instruções

Índice:

• Porque é que a proteção pode precisar de ser afinada
• Funcionamento da definição de perfis
• Etapa 1 — Ativar a definição de perfis
• Etapa 2 — Criar uma política
• Etapa 3 — Adicionar os seus endereços IP
• Ler os estados
• Gerir as suas políticas
• Medir o efeito de uma política
• Limites
• Diagnóstico

Porque é que a proteção pode precisar de ser afinada

Duas situações principais podem levá-lo a ajustar as definições predefinidas:

Os falsos positivos são os mais frequentes, e algumas utilizações concentram a maior parte deles: os túneis VPN, cuja taxa de pacotes UDP é elevada; os nós Blockchain/Solana, que utilizam amplos intervalos de portas com uma renovação constante dos pares; a transmissão de vídeo e a voz, expostas a aumentos de audiência bruscos, mas legítimos; os serviços web durante um lançamento ou uma operação comercial.

Crie uma política se se encontrar numa destas situações:

• Há tráfego legítimo a ser mitigado e já está a contornar o problema, ao mudar a VPN para o modo TCP, ao reduzir o MTU ou ao abrir um ticket após cada incidente.
• Está a preparar um pico de tráfego previsto, por exemplo um evento em direto ou o lançamento de um produto.
• Gere uma aplicação cujo tráfego é estruturalmente atípico e prefere declará-lo antecipadamente, em vez de esperar pelo primeiro falso positivo.
• Um ataque foi efetivamente mitigado, mas de forma incompleta, e pretende que a deteção reaja mais cedo.

Se nenhuma destas situações corresponder à sua, não é necessária qualquer alteração: os seus serviços continuam protegidos por predefinição.

Funcionamento da definição de perfis

Pode criar políticas. Uma política associa um perfil de tráfego de rede a um nível de sensibilidade e aplica-se aos endereços IPv4 públicos ou aos blocos que lhe adicionar.

Os perfis de tráfego de rede

A OVHcloud concebe e mantém os perfis de tráfego de rede: ao criar uma política, escolha aquele que melhor corresponde à sua carga de trabalho.

Tirar o máximo partido de um perfil

Para obter os melhores resultados com alguns perfis:

• VPN - WireGuard: utilize a porta predefinida do WireGuard, UDP 51820. Desta forma, evita perder tráfego legítimo durante um ataque.
• VPN - OpenVPN: utilize as portas predefinidas do OpenVPN, UDP 1194 e TCP 443. Se não precisar da solução alternativa em TCP, bloqueie esse tráfego com o Edge Network Firewall.
• WebServer - Generic: não o utilize se o servidor também receber tráfego UDP. O QUIC (HTTP/3) ainda não é suportado: o tráfego QUIC é rejeitado durante um ataque.
• Generic - Proxied TCP: escolha este perfil em vez do WebServer - Generic quando um CDN externo ou um reverse proxy alojado fora da OVHcloud se encontrar à frente de um servidor web alojado na OVHcloud. O servidor de origem recebe então numerosas ligações a partir de um pequeno número de endereços de periferia do CDN: este perfil conta com este padrão e não identifica esses endereços como atacantes.
• Blockchain - Solana: durante um ataque, a mitigação evita afetar o tráfego Solana legítimo. Em contrapartida, ataques muito direcionados podem deixar passar mais tráfego malicioso para o servidor.

A sensibilidade

A sensibilidade posiciona a política entre dois riscos: mitigar demasiado ou não mitigar o suficiente. Os níveis disponíveis dependem do perfil.

Uma única política por endereço IP

Um endereço IP está abrangido por uma única política. Se um bloco estiver associado a uma política e um endereço desse bloco a outra, prevalece a entrada mais específica. Por exemplo, se 203.0.113.0/24 estiver associado a uma política WebServer - Generic e 203.0.113.10 a uma política VPN - WireGuard, então 203.0.113.10 utiliza a política VPN - WireGuard e o resto do bloco a política WebServer - Generic.

As definições de uma política são mantidas para um Additional IP quando este passa de um dos seus serviços para outro. Só são repostas se o endereço mudar de proprietário ou se o respetivo serviço for rescindido.

Etapa 1 — Ativar a definição de perfis

A ativação só é necessária uma vez por conta.

1. Inicie sessão na consola OVHcloud.

2. Durante a fase beta, clique em Descobrir a consola >BETA_ no canto superior direito.

3. No menu lateral, aceda a Segurança > Anti-DDoS e abra o separador Profiling.

4. Clique em Activate profiling.

   Siga as instruções apresentadas, se for o caso, para concluir a ativação. Não é cobrado qualquer montante.

Uma vez concluída a ativação, o separador Profiling apresenta as políticas que definiu. A ativação não altera as definições de proteção de nenhum endereço IP enquanto não o adicionar a uma política.

Etapa 2 — Criar uma política

1. No separador Profiling, clique em Create a policy.
2. No campo Name, introduza um nome que identifique a carga de trabalho, por exemplo vpn-concentrators.
3. Na lista Network traffic profile, selecione o perfil correspondente à sua carga de trabalho. A respetiva descrição é apresentada por baixo da lista.
4. Defina a Sensitivity. Comece por Medium, exceto se já souber em que sentido a proteção deve evoluir.
5. Clique em Create policy.

Os endereços IP são adicionados depois de a política ser criada. Até lá, o seu estado é Not configured: ainda não se aplica a nenhum endereço.

Etapa 3 — Adicionar os seus endereços IP

1. Na lista de políticas, clique no nome da política, ou no botão ... no fim da linha e, em seguida, em Edit.
2. Na secção Targets do painel Edit policy, clique no campo Add an IP…. A lista apresenta os blocos IP e os endereços IP individuais disponíveis na sua conta. Introduza o início de um endereço para filtrar a lista.
3. Selecione um endereço ou um bloco inteiro. Se os seus servidores ocuparem um bloco contíguo, adicione o bloco em vez de cada endereço.
4. Depois de selecionar um bloco IP, pode modificar a seleção no campo de introdução. Em vez do bloco inteiro, pode assim introduzir uma das suas sub-redes ou um único endereço desse bloco.
5. Repita a operação para cada endereço ou bloco e clique em Save changes. É apresentada uma mensagem de confirmação.

A proteção DDoS VAC deste endereço passa então a seguir o perfil e a sensibilidade da política, e não as definições genéricas. A alteração é aplicada em segundo plano: o endereço é marcado como Pending até a alteração ser aplicada e, depois, esse distintivo desaparece.

Se um endereço que adicionar já tiver definições Anti-DDoS antigas que não provêm de uma política, como definições personalizadas aplicadas pelas equipas de suporte da OVHcloud, é apresentada uma janela Legacy Anti-DDoS settings detected ao guardar. Para aplicar a política mesmo assim, marque a caixa I understand e clique em Overwrite and save. Desta forma, recupera o controlo sobre as definições de proteção do endereço e pode modificá-las com as opções mais recentes de definição de perfis.

Ler os estados

A lista de políticas indica, para cada uma, o respetivo perfil de tráfego de rede, a sensibilidade, o número de endereços IP, a data do último ataque detetado e o estado. Pode filtrá-la por perfil, por sensibilidade e por estado.

Gerir as suas políticas

Cada política dispõe de um botão de ações (...) no fim da respetiva linha na lista de políticas, com as seguintes opções:

Medir o efeito de uma política

Uma política modifica o tráfego que é mitigado: para a avaliar, compare a atividade de mitigação antes e depois da sua aplicação.

Na consola OVHcloud (durante a fase beta, abra-a através do botão Descobrir a consola >BETA_ no canto superior direito), aceda a Segurança > Anti-DDoS. O separador Dashboard lista os ataques detetados nos seus endereços e, durante os eventos de deteção, o separador Trafego apresenta o tráfego legítimo do endereço que selecionar, bem como o tráfego filtrado durante os ataques mitigados. Uma política eficaz filtra menos tráfego durante os picos legítimos, e não menos durante os verdadeiros ataques. Para saber mais sobre os ataques detetados nos seus serviços, consulte o guia "Monitorizar os ataques DDoS com o painel Anti-DDoS".

Se um perfil não se comportar como previsto, comunique-o através da ligação Do you like it? no topo da página Profiling. Durante a fase beta, estes comentários permitem melhorar o catálogo.

Limites

Diagnóstico

Se um perfil estiver aplicado e o problema persistir, uma captura de tráfego (pcap) dos fluxos em causa ajudará o suporte a analisá-lo.

Quer saber mais?

Monitorizar os ataques DDoS com o painel Anti-DDoS

Ativar e configurar o Edge Network Firewall

Fale com a nossa comunidade de utilizadores.