Protection – Réponse d’urgence aux attaques DDoS

Dans cet article, vous découvrirez :

• Comment diagnostiquer une attaque DDoS
• Comment bloquer une attaque en urgence à l’aide de :
  • GeoIP
  • Filters
  • Pare-feu applicatif web (WAF)
• Questions fréquentes

---

Diagnostic DDoS

Les attaques DDoS sont un type courant de cyberattaque qui vise à submerger un site web ou une application avec un volume élevé de requêtes. Ces requêtes proviennent généralement de différentes régions, mais peuvent aussi venir d’une seule adresse IP, plage ou fournisseur. Certaines peuvent avoir un UserAgent commun, ce qui permet de les filtrer efficacement.

La première étape pour réagir correctement à une attaque DDoS en cours consiste à identifier les attaquants et à les bloquer, sans restreindre le trafic légitime vers votre site. Le meilleur outil d’analyse du trafic est l’interface Grafana, que vous pouvez configurer selon Protection – Grafana manuel.

Si vous soupçonnez que votre site ou votre application est attaqué, procédez comme suit :

1. Connectez-vous à votre interface Grafana ⧉.
2. Dans le Hôte de la requête filtre en haut à gauche, sélectionnez le domaine attaqué. Si nécessaire, modifiez aussi le Plage temporelle en haut à droite sur 5 minutes.
3. Recherchez un comportement suspect dans les journaux.
4. Déterminez la meilleure méthode de blocage à l’aide des conseils ci-dessous.

Il n’existe pas une seule bonne façon d’analyser les journaux, mais voici quelques conseils généraux sur ce qu’il faut vérifier :

• Anomalies. Le tableau Anomalies répertorie les requêtes comportant des codes d’erreur. Il s’agit notamment des requêtes bloquées (456), que le système bloque déjà activement. Vous n’avez pas besoin d’agir contre elles.
• Requêtes provenant des pays. Si un grand nombre de requêtes provenant de pays inhabituels apparaissent dans cette liste, utilisez GeoIP pour bloquer ces pays, jusqu’à ce que l’attaque cesse.
• TOP10 des IP clientes. Bien que ce soit rare lors d’une attaque DDoS, vous pouvez constater un nombre anormalement élevé de requêtes provenant de quelques IP. Vous pouvez les bloquer à l’aide de Filters.
• TOP10 des UserAgents et Rapport ASN. Dans certaines circonstances, les attaquants peuvent partager un même UserAgent ou un même ASN. Vous pouvez facilement filtre ceux-ci.

Si vous ne parvenez pas à identifier et filtrer la source de l’attaque, bloquez l’attaque à l’aide de WAF.

Une fois que les attaques DDoS ne parviennent plus à faire tomber un système, elles cessent généralement en quelques minutes. Continuez à surveiller la situation et, lorsque vous ne détectez plus de trafic malveillant, essayez de désactiver à nouveau les mesures d’urgence.

---

Blocage d’urgence

Si les filtres automatiques mettent trop de temps à empêcher une attaque DDoS (ou une autre attaque similaire) sur votre site ou votre application, nous recommandons de configurer :

• GeoIP fonctionne le mieux pour isoler rapidement le trafic de votre pays ou continent, ou pour bloquer le trafic provenant de régions attaquantes.
• Filters bloquer des IP, ASN ou UserAgents spécifiques.
• Pare-feu applicatif web (WAF) est capable de filtrer le trafic selon des règles plus strictes avec un niveau de paranoïa plus élevé.

Blocage GeoIP

Pour configurer GeoIP, procédez comme suit :

1. Connectez-vous à panneau d’administration WEDOS.global ⧉.
2. Sélectionnez le domaine attaqué.
3. Dans le menu de gauche, sélectionnez GeoIP.
4. Enable Custom GeoIP.
5. Configurez GeoIP selon vos besoins (voir ci-dessous) et enregistrez.

Vous utiliserez généralement le blocage GeoIP pour :

• Rendre le site ou l’application accessible uniquement aux utilisateurs d’une zone donnée en procédant comme suit :
  1. Dans le Paramètres d’accès , sélectionnez le Allow Access comportement et enregistrez.
  2. Sélectionnez la ou les régions cibles disponibles dans Carte GeoIP. Le trafic provenant des régions non sélectionnées (en bleu) sera bloqué.
  3. Dans le Liste des régions sélectionnées, cliquez sur le Save Selected Regions bouton.
• Bloquer le trafic provenant de pays présentant un nombre ou une proportion élevés de requêtes problématiques non bloquées, en suivant ces étapes :
  1. Dans le Paramètres d’accès , sélectionnez le Block Access comportement et enregistrez.
  2. Sélectionnez la ou les régions cibles disponibles dans Carte GeoIP. Le trafic provenant des régions non sélectionnées (en bleu) sera autorisé.
  3. Dans le Liste des régions sélectionnées, cliquez sur le Save Selected Regions bouton.

Filtrage du trafic

Les filtres de trafic disponibles sont les suivants :

• IP. Bloque toutes les requêtes provenant d’une adresse IP ou d’une plage donnée.
• ASN. Bloque toutes les requêtes provenant d’un ASN donné (Autonomous System Number, qui identifie généralement un fournisseur d’accès à Internet).
• URL. Bloque tout le trafic à une URL donnée, quelle que soit la source. Utilisez cette option si l’attaque vise une ressource précise.
• UserAgent. Bloque le trafic en fonction des chaînes UserAgent.

Pour configurer les filtres IP, ASN, URL ou UserAgent, procédez comme suit :

1. Connectez-vous à panneau d’administration WEDOS.global ⧉.
2. Sélectionnez le domaine attaqué.
3. Dans le menu de gauche, sélectionnez Filters.
4. Activez tout Custom Filter que vous souhaitez utiliser.
5. Ajoutez les IP, ASN et UserAgents problématiques.

Filtrage WAF

S’il n’y a pas d’indicateur clair sur la source ou la cible du trafic malveillant, nous vous conseillons d’augmenter le niveau de paranoïa du WAF pendant la durée de l’attaque.

Pour modifier le niveau de paranoïa du WAF, procédez comme suit :

1. Connectez-vous à panneau d’administration WEDOS.global ⧉.
2. Sélectionnez le domaine attaqué.
3. Dans le menu de gauche, sélectionnez WAF.
4. Enable Custom WAF.
5. Dans le Niveau de paranoïa , sélectionnez Niveau 2.

---

FAQ