Dienste von Drittanbietern und DDoS Schutz

Wenn Sie Dienste von Drittanbietern wie Content Delivery Networks (CDNs), VPNs oder NAT-Geräte in CIS integrieren, ist es wichtig zu verstehen, wie diese Komponenten mit Schutzsystemen für Distributed Denial of Service ( DDoS ) zusammenwirken. In den folgenden Abschnitten werden empfohlene Konfigurationseinstellungen und Anpassungen der DDoS Regeln beschrieben, um sicherzustellen, dass diese Dienste nahtlos zusammenarbeiten. Ziel ist es, eine starke Filterung des Datenverkehrs aufrechtzuerhalten, potenzielle Risiken zu verringern und negative Auswirkungen auf die Leistung zu vermeiden.

Verwendung eines CDN eines Drittanbieters vor einem CIS

Einige CIS Kunden entscheiden sich dafür, ein CDN eines Drittanbieters vor CIS zu platzieren, um ihre Ressourcen zu cachen und bereitzustellen.

Es wird jedoch "nicht" empfohlen, ein CDN eines Drittanbieters vor CIS zu platzieren. Einige CDN-Anbieter können in HTTP Anfragen einbringen, die von den Protokollstandards und bewährten Verfahren abweichen. Da der Datenverkehr an CIS dann von einer begrenzten Anzahl von IP-Adressen des CDN ausgeht, kann dies (in seltenen Fällen) dazu führen, dass der Datenverkehr fälschlicherweise als Angriff auf DDoS identifiziert wird. Wenn Sie zum Beispiel das Akamai CDN vor CIS verwenden, kann das hohe Verkehrsaufkommen von einer begrenzten Anzahl von IPs einem Angriffsverhalten auf CIS ähneln.

Verwenden Sie stattdessen CIS sowie das zugrunde liegende Cloudflare-Netzwerk und dessen CDN-Funktionen, die folgende Vorteile bieten:

Geringere Latenzzeit durch Wegfall eines zusätzlichen Netzwerksprungs zwischen den Rechenzentren der Anbieter.
Unmittelbarer DDoS Schutz beim ersten Kontakt mit dem Internet (eine bewährte Praxis der Branche).

Wenn Sie ein CDN eines Drittanbieters vor CIS und CIS einsetzen, um einen „ DDoS “-Angriff abzuwehren, müssen Sie Ihrem CDN-Anbieter dennoch den Angriffsverkehr in Rechnung stellen, der vor der Abwehr durch den Anbieter verarbeitet wurde.

Empfohlene DDoS Konfigurationseinstellungen für VPN und NAT

Ohne ein Abonnement für „Advanced DDoS Protection“ können Sie die Aktionen der „ DDoS “-Regeln nicht anpassen, beispielsweise indem Sie sie auf „ Log “ einstellen. Sie können jedoch die Empfindlichkeit der Regeln anpassen, um die Wahrscheinlichkeit von Fehlalarmen bei unbeabsichtigten Blockierungen zu verringern.

Wenn Ihr Unternehmen VPNs, NATs oder Dienste von Drittanbietern verwendet, die ein hohes Verkehrsaufkommen (über 100 Mbit/s) erzeugen, müssen Sie möglicherweise Ihre DDoS Konfiguration anpassen, um Störungen zu vermeiden. Sowohl HTTP-basierter (Schicht 7) als auch Netzwerkschicht- (Schicht 4) Verkehr kann verwaltete DDoS Regeln auslösen. Die folgenden Empfehlungen helfen Ihnen bei der Verwendung von Ausdrucksfiltern und der Einstellung der Regelsensitivität, um legitimen Datenverkehr mit hohem Volumen besser zu bewältigen:

Verwenden Sie Ausdrucksfilter, um bestimmten Datenverkehr von den Regeln auszuschließen. Sie können eine Kombination aus Quellports, Quell-IP-Adressen, Zielports, Ziel-IP-Adressen und Protokoll ausschließen.
Verringern Sie die Empfindlichkeitsstufe der relevanten verwalteten Regeln. Die Einstellung einer Regel auf "Im Wesentlichen aus" verhindert, dass die Regel ausgelöst wird. Weitere Informationen zu Regelanpassungen finden Sie unter HTTP DDoS Attack Protection managed ruleset (Phase ddos_l7) und unter Network-layer DDoS Attack Protection managed ruleset (Phase ddos_l4).

Ein Beispiel für einen API-Aufruf zur Anpassung des Regelsatzes „ L7 “ finden Sie unter „ Anpassung der Empfindlichkeit des Regelsatzes „ DDoS “ L7 mithilfe der API “.

Für Enterprise-Benutzer können DDoS Regelsatz-Aktionen konfiguriert werden, indem die Regelsatz-API verwendet wird, um übereinstimmenden Datenverkehr zu protokollieren. Es gibt zwar keine spezielle Benutzeroberfläche für den DDoS Regelsatz, aber wenn Sie die Aktion einer Regel auf Log setzen, können Sie den markierten Datenverkehr über API-zugängliche Protokolle einsehen. Diese Aktion kann Ihnen helfen, Erkenntnisse zu gewinnen, bevor Sie Ausnahmen anwenden oder die Empfindlichkeit der Regel ändern.

Beispiel: Anpassen der Empfindlichkeit von DDoS Layer 7 ruleset mit der API

So passen Sie die Empfindlichkeit des DDoS Layer 7-Regelsatzes an:

curl -X PUT https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/phases/ddos_l7/entrypoint
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"
--data '{
  "action":"execute",
  "description":"ddos override",
  "enabled":true,
  "expression":"true",
  "action_parameters":{
    "id":"4d21379b4f9f4bb088e0729962c8b3cf",
    "overrides":{
      "rules":[
        {
          "id":"dd42da7baabe4e518eaf11c393596a9d",
          "sensitivity_level":"eoff"
        },
	{
          "id":"78da7447eca94fabbcb405fc923e2920",
          "sensitivity_level":"medium"
	}
      ]
    }
  }
}'

Der Layer-7-Regelsatz „ DDoS “ verwendet immer die ID „ 4d21379b4f9f4bb088e0729962c8b3cf “. Außerdem muss das Feld expression immer auf true gesetzt werden.

In diesem Beispiel werden zwei häufig ausgelöste Regeln in Szenarien mit hohem Verkehrsaufkommen außer Kraft gesetzt:

"HTTP requests causing a high number of origin errors." - dd42da7baabe4e518eaf11c393596a9d "HTTP requests causing a high request rate to origin." - 78da7447eca94fabbcb405fc923e2920

Um Regel-IDs und Beschreibungen abzurufen, verwenden Sie diesen API-Aufruf:

curl -X GET https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/4d21379b4f9f4bb088e0729962c8b3cf
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"

Dienste von Drittanbietern und DDoS Schutz

Dienste von Drittanbietern und DDoS Schutz

Verwendung eines CDN eines Drittanbieters vor einem CIS

Empfohlene DDoS Konfigurationseinstellungen für CDN oder Proxy

Empfohlene DDoS Konfigurationseinstellungen für VPN und NAT

Beispiel: Anpassen der Empfindlichkeit von DDoS Layer 7 ruleset mit der API