サードパーティ・サービスと DDoS プロテクション

コンテンツ・デリバリー・ネットワーク（CDN）、VPN、NAT デバイスなどのサードパーティ・サービスを CIS と統合する場合、これらのコンポーネントが分散型サービス拒否（DoS）（ DDoS ）防御システムとどのように相互作用するかを理解することが重要です。以下のセクションでは、これらのサービスがシームレスに連動するように、推奨される構成設定と DDoS ルールの調整について説明します。目的は、強力なトラフィックフィルタリングを維持し、潜在的なリスクを低減し、パフォーマンスへの悪影響を回避することである。

の前にサードパーティCDNを使用する。 CIS

CIS、 CIS の前にサードパーティのCDNを置き、リソースをキャッシュして提供することを選択する顧客もいる。

しかし、サードパーティのCDNを CIS の前に置くことは「推奨されない」。 CDNプロバイダーによっては、プロトコル標準やプロトコルのベストプラクティスから逸脱した矛盾を HTTP。また、 CIS へのトラフィックは、CDNのIPアドレスの限定されたセットから発信されるため、（まれに）トラフィックが DDoS 攻撃と誤認される可能性がある。例えば、 CIS の前でアカマイの CDN を使用する場合、限られた IP からの大量のトラフィックは、 CIS に対する攻撃行動と類似している可能性があります。

その代わりに、 CIS と、その基盤となるCloudflareネットワークおよびCDN機能を利用してください。これにより、次のようなメリットが得られます：

ベンダーのデータセンター間の余分なネットワークホップを削除することで、待ち時間を短縮。
インターネットとの最初の接点で即座に DDoS を保護する（業界のベストプラクティス）。

CIS の前にサードパーティの CDN を使用しており、 CIS が DDoS 攻撃を緩和する場合でも、緩和処理が行われる前に CDN プロバイダーによって処理された攻撃トラフィックについては、引き続き CDN プロバイダーに料金を支払う必要があります。

VPNとNATに関する推奨される DDoS 構成の調整

「 DDoS Protection」のアドバンスト版サブスクリプションがない場合、「 DDoS 」のルールアクションをカスタマイズすることはできません。たとえば、ルールを「 Log 」に設定することなどはできません。しかし、ルールの感度を調整することで、意図しないブロックが発生した場合の誤検知の可能性を減らすことはできる。

VPN、NAT、またはサードパーティのサービスを使用していて、トラフィック量が多い（100 Mbps以上）場合は、 DDoS の設定を調整して、障害を回避する必要があります。 HTTP （レイヤー7）ベースとネットワークレイヤー（レイヤー4）の両方のトラフィックは、管理された DDoS ルールをトリガーすることができます。以下の推奨事項は、エクスプレッション・フィルタを使用し、ルールの感度を調整することで、正規の大量トラフィックにうまく対応するのに役立ちます：

特定のトラフィックをルールから除外するには、式フィルタを使用します。送信元ポート、送信元IPアドレス、宛先ポート、宛先IPアドレス、プロトコルの組み合わせを除外することができます。
関連する管理ルールの感度レベルを下げる。ルールを "Essentially Off "に設定すると、ルールがトリガーされなくなる。ルール調整の詳細については、 HTTP DDoS Attack Protection managed ruleset (phase ddos_l7) および Network-layer DDoS Attack Protection managed ruleset (phase ddos_l4) を参照してください。

L7 のルールセットを調整するためのAPI呼び出し例については、「 APIを使用した DDoS L7 ルールセットの感度の調整」を参照してください。

Enterprise ユーザーの場合、 DDoS ルールセットアクションは、一致するトラフィックをログに記録するルールセット API を使用して設定できます。 DDoS ルールセット専用のUIは存在しないが、ルールのアクションを Log に設定することで、APIからアクセス可能なログを通じて、フラグが設定されたトラフィックを可視化することができる。このアクションは、除外を適用したり、ルールの感度を変更したりする前に、インサイトを収集するのに役立ちます。

例API を使って DDoS レイヤー 7 ルールセットの感度を調整する

DDoS レイヤー7ルールセットの感度を調整する：

curl -X PUT https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/phases/ddos_l7/entrypoint
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"
--data '{
  "action":"execute",
  "description":"ddos override",
  "enabled":true,
  "expression":"true",
  "action_parameters":{
    "id":"4d21379b4f9f4bb088e0729962c8b3cf",
    "overrides":{
      "rules":[
        {
          "id":"dd42da7baabe4e518eaf11c393596a9d",
          "sensitivity_level":"eoff"
        },
	{
          "id":"78da7447eca94fabbcb405fc923e2920",
          "sensitivity_level":"medium"
	}
      ]
    }
  }
}'

DDoS のレイヤー7ルールセットでは、常にID「 4d21379b4f9f4bb088e0729962c8b3cf 」が使用されます。また、 expression フィールドは常に true に設定しなければならない。

この例では、高トラフィックシナリオで一般的にトリガーされる2つのルールがオーバーライドされている：

"HTTP requests causing a high number of origin errors." - dd42da7baabe4e518eaf11c393596a9d "HTTP requests causing a high request rate to origin." - 78da7447eca94fabbcb405fc923e2920

ルールIDと説明を取得するには、このAPIコールを使用する：

curl -X GET https://api.cis.cloud.ibm.com/v1/$CRN/rulesets/4d21379b4f9f4bb088e0729962c8b3cf
--header "Content-Type: application/json"
--header "X-Auth-User-Token: Bearer $IAM_TOKEN"

サードパーティ・サービスと DDoS プロテクション

サードパーティ・サービスと DDoS プロテクション

の前にサードパーティCDNを使用する。 CIS

CDN またはプロキシに関する DDoS 推奨設定

VPNとNATに関する推奨される DDoS 構成の調整

例API を使って DDoS レイヤー 7 ルールセットの感度を調整する