Servizi di terze parti e protezione di DDoS

Quando si integrano servizi di terze parti, come reti di consegna dei contenuti (CDN), VPN o dispositivi NAT con CIS, è importante capire come questi componenti interagiscono con i sistemi di protezione da Distributed Denial of Service ( DDoS ). Le sezioni seguenti descrivono le impostazioni di configurazione consigliate e le modifiche alle regole di DDoS per assicurarsi che questi servizi funzionino perfettamente insieme. L'obiettivo è mantenere un forte filtraggio del traffico, ridurre i rischi potenziali ed evitare qualsiasi impatto negativo sulle prestazioni.

L'utilizzo di un CDN di terze parti davanti a CIS

Alcuni clienti di CIS scelgono di posizionare un CDN di terze parti davanti a CIS per memorizzare nella cache e servire le loro risorse.

Tuttavia, è "sconsigliato" inserire un CDN di terze parti davanti a CIS. Alcuni fornitori di CDN potrebbero introdurre discrepanze nelle richieste di HTTP che si discostano dagli standard di protocollo e dalle migliori pratiche di protocollo. Inoltre, poiché il traffico verso CIS proviene da un insieme limitato di indirizzi IP del CDN, questo può (in rari casi) far sì che il traffico venga erroneamente identificato come un attacco DDoS. Ad esempio, quando si utilizza il CDN Akamai davanti a CIS, l'elevato volume di traffico da un insieme limitato di IP può assomigliare a un comportamento di attacco a CIS.

Utilizza invece CIS e la rete Cloudflare sottostante con le sue funzionalità CDN, che offrono i seguenti vantaggi:

Riduzione della latenza grazie all'eliminazione di un salto di rete aggiuntivo tra i data center dei fornitori.
Protezione immediata di DDoS al primo punto di contatto con Internet (una best practice del settore).

Se si utilizza un CDN di terze parti a monte di CIS e CIS per mitigare un attacco di tipo " DDoS ", è comunque necessario pagare il proprio provider CDN per il traffico derivante dall'attacco che viene elaborato dal provider prima della mitigazione.

Modifiche alla configurazione di DDoS consigliate per VPN e NAT

Senza un abbonamento ad Advanced DDoS Protection, non è possibile personalizzare le azioni delle regole di DDoS, ad esempio impostandole su “ Log ”. Tuttavia, è possibile regolare la sensibilità delle regole per ridurre la probabilità di falsi positivi in caso di blocco involontario.

Se l'organizzazione utilizza VPN, NAT o servizi di terze parti che generano volumi di traffico elevati (oltre 100 Mbps), potrebbe essere necessario modificare la configurazione di DDoS per evitare interruzioni. Sia il traffico basato su HTTP (Layer 7) che quello del livello di rete (Layer 4) possono attivare le regole di DDoS gestite. Le seguenti raccomandazioni aiutano a utilizzare i filtri di espressione e a regolare la sensibilità delle regole per gestire meglio il traffico legittimo ad alto volume:

Utilizzare i filtri di espressione per escludere un traffico specifico dalle regole. È possibile escludere una combinazione di porte di origine, indirizzi IP di origine, porte di destinazione, indirizzi IP di destinazione e protocollo.
Ridurre il livello di sensibilità delle regole gestite rilevanti. L'impostazione di una regola su "Essenzialmente disattivata" impedisce l'attivazione della regola. Per ulteriori informazioni sulle regolazioni, vedere il set di regole gestito per la protezione dagli attacchi HTTP DDoS (fase ddos_l7) e il set di regole gestito per la protezione dagli attacchi a livello di rete DDoS (fase ddos_l4).

Per vedere un esempio di chiamata API per la regolazione del set di regole " L7 ", consultare la guida " Regolazione della sensibilità del set di regole ' DDoS ' L7 tramite l'API ".

Per gli utenti Enterprise, le azioni del ruleset DDoS possono essere configurate utilizzando l'API Ruleset per registrare il traffico corrispondente. Sebbene non esista un'interfaccia utente dedicata per il set di regole DDoS, l'impostazione dell'azione di una regola su Log consente la visibilità del traffico contrassegnato attraverso i registri accessibili tramite API. Questa azione può aiutare a raccogliere informazioni prima di applicare esclusioni o modificare la sensibilità della regola.

Esempio: Regolazione della sensibilità del set di regole DDoS Layer 7 con l'API

Per regolare la sensibilità del set di regole Layer 7 di DDoS:

curl -X PUT https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/phases/ddos_l7/entrypoint
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"
--data '{
  "action":"execute",
  "description":"ddos override",
  "enabled":true,
  "expression":"true",
  "action_parameters":{
    "id":"4d21379b4f9f4bb088e0729962c8b3cf",
    "overrides":{
      "rules":[
        {
          "id":"dd42da7baabe4e518eaf11c393596a9d",
          "sensitivity_level":"eoff"
        },
	{
          "id":"78da7447eca94fabbcb405fc923e2920",
          "sensitivity_level":"medium"
	}
      ]
    }
  }
}'

Il set di regole Layer 7 di DDoS utilizza sempre l'ID 4d21379b4f9f4bb088e0729962c8b3cf. Inoltre, il campo expression deve essere sempre impostato su true.

In questo esempio, vengono ignorate due regole comunemente attivate in scenari di traffico elevato:

"HTTP requests causing a high number of origin errors." - dd42da7baabe4e518eaf11c393596a9d "HTTP requests causing a high request rate to origin." - 78da7447eca94fabbcb405fc923e2920

Per recuperare gli ID e le descrizioni delle regole, utilizzare questa chiamata API:

curl -X GET https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/4d21379b4f9f4bb088e0729962c8b3cf
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"

Servizi di terze parti e protezione di DDoS

Servizi di terze parti e protezione di DDoS

L'utilizzo di un CDN di terze parti davanti a CIS

Modifiche alla configurazione di DDoS consigliate per CDN o proxy

Modifiche alla configurazione di DDoS consigliate per VPN e NAT

Esempio: Regolazione della sensibilità del set di regole DDoS Layer 7 con l'API