Dans cet article, vous apprendrez :
- Comment fonctionne l’Emergency Mode
- Comment changer le mode actif
- Quand utiliser chaque mode
- Questions fréquentes
Mode d'urgence
Mode d'urgence détermine la façon dont WEDOS Protection traite le trafic entrant d’un domaine au niveau global. Il définit si les règles de protection sont appliquées normalement, uniquement journalisées ou remplacées par un comportement de réponse à incident plus strict, le tout depuis une seule liste déroulante.
Le changement de mode de protection s’applique à toute la configuration du domaine. Il ne supprime ni ne remplace les filtres ou Combo Rules. Il modifie en revanche la manière dont ces règles se comportent au niveau du proxy.
Modes disponibles
WEDOS Protection prend actuellement en charge les cinq modes suivants :
| Mode | Comportement |
|---|---|
| Normal (désactivation) | Aucun mode d’urgence n’est actif. Le domaine fonctionne avec la protection Normal complète, tous les filtres, limites de débit et règles CMS étant appliqués. Recommandé pour la production. |
| Under Attack, Soft | Barrière de vérification renforcée combinée à des limites de débit plus strictes. Conçu pour une attaque L7 active lorsque vous souhaitez filtrer plus fortement tout en gardant le site accessible aux utilisateurs légitimes. |
| Bypass | Les règles de protection sont contournées et le trafic est transmis à l’origine avec un filtrage réduit. Utile pour examiner un faux positif suspecté dans vos règles de protection. |
| Journalisation uniquement | Les filtres et les règles sont évalués mais n’affectent pas le trafic. Les actions deviennent des entrées « log » consultables dans Grafana. À utiliser pour valider des règles ou auditer la protection existante. |
| Full Drop | Toutes les connexions TCP entrantes sont rejetées silencieusement en bordure du proxy. Les visiteurs voient un dépassement du délai de connexion. Isolation en dernier recours. |
Vous trouverez plus d’informations sur les modes dans le chapitre Manuel des modes .
Configuration de l’Emergency Mode
Pour changer l’Emergency Mode actif d’un domaine, procédez comme suit :
- Connectez-vous au panneau d’administration WEDOS Global ⧉.
- Sélectionnez le domaine (ou le modèle) à configurer.
- Ouvrez la liste déroulante intitulée Mode d'urgence en haut du tableau de bord du domaine et sélectionnez le mode que vous souhaitez activer.
- Confirmez le changement dans la fenêtre de dialogue.
Le nouveau mode prend effet en bordure du proxy en quelques secondes.
Le mode actuellement actif est toujours affiché comme libellé de la liste déroulante.
Pour appliquer rapidement un mode donné à un grand nombre de domaines, créez un modèle avec ce mode actif.
Retour à la protection Normal
Pour revenir à la protection de production complète, sélectionnez Deactivate dans la liste déroulante et confirmez le changement. La désactivation de l’Emergency Mode rétablit l’application de tous les filtres, limites de débit et règles CMS. Toutes les règles ajoutées ou modifiées pendant que le domaine était dans un autre mode sont appliquées dès que la protection Normal est active.
Manuel des modes
La liste ci-dessous décrit la situation type pour laquelle chaque mode est conçu. En règle générale, un domaine devrait fonctionner la plupart du temps en mode Normal . Utilisez les autres modes délibérément, dans un but précis, et revenez au mode Normal une fois cet objectif atteint.
Normal (désactivation)
Il s’agit du réglage de production par défaut, qui devrait être actif en permanence sauf raison particulière d’en changer. La protection Normal applique l’ensemble de la pile de protection L3, L4 et L7 ainsi que toutes les règles personnalisées que vous avez configurées.
Under Attack, Soft
Utilisez Under Attack, Soft lorsque le domaine est la cible d’une attaque ciblée mais que vous souhaitez néanmoins garder le service accessible aux utilisateurs légitimes. La barrière de vérification est renforcée et les limites de débit sont resserrées : un client qui échoue à la vérification ou dépasse les seuils abaissés est filtré avant que le serveur d’origine ne voie la requête.
Bypass
Utilisez Bypass lorsque vous soupçonnez qu’une règle de protection bloque du trafic légitime et que vous devez lever rapidement cette restriction le temps de l’investigation. Le trafic est transmis à l’origine avec un filtrage réduit, ce qui maintient le site accessible pendant que vous isolez la règle à l’origine du faux positif. Une fois l’investigation terminée et Protection ajustée en conséquence, remettez le domaine en mode Normal.
Journalisation uniquement
Utilisez Log Only lorsque vous découvrez WGP et souhaitez obtenir une vue d’ensemble de votre trafic afin de déterminer le niveau de protection nécessaire, pour évaluer les réglages Filters ou WAF , ou lorsque vous souhaitez auditer la protection existante sans affecter le trafic. Les filtres et les règles sont évalués mais ne bloquent pas le trafic. Les actions qui en résultent deviennent des entrées de journal qui vous permettent de valider les filtres et règles nécessaires avant de les activer en mode Normal.
Full Drop
Utilisez Full Drop comme mode d’isolation de dernier recours. Toutes les connexions TCP entrantes sont rejetées silencieusement en bordure du proxy, ce qui signifie que les visiteurs voient un dépassement du délai de connexion plutôt qu’une réponse quelconque. Ce mode ne convient que lorsqu’aucun autre mode ne suffit, par exemple lors d’un incident catastrophique où tout trafic vers le serveur d’origine est inacceptable.
FAQ
Comment savoir quel mode est actif sur mon domaine ?
Le mode actuel est affiché dans la liste déroulante. S’il ne s’agit pas du mode Normal et que vous n’êtes ni en phase de test ni attaqué, sélectionnez l’option Deactivate pour revenir au mode Normal .
Le changement de mode de protection supprime-t-il ou remplace-t-il mes filtres et mes Combo Rules ?
Non. Vos filtres et vos Combo Rules restent intacts dans la configuration. Le mode de protection modifie uniquement le comportement de ces règles à l’exécution. Le retour à la protection Normal rétablit l’application complète de chaque règle exactement telle qu’elle était configurée.
En combien de temps un changement de mode prend-il effet ?
Une fois la boîte de dialogue de confirmation validée, le nouveau mode est propagé en bordure du proxy en quelques secondes. Aucun changement DNS ni redémarrage n’est nécessaire.
Puis-je passer directement d’un mode à un autre sans revenir d’abord au mode Normal ?
Oui. Vous pouvez passer directement d’un mode à n’importe quel autre. Chaque transition nécessite toujours une confirmation. Par exemple, vous pouvez passer de Under Attack, Soft à Full Drop si un incident s’aggrave, puis revenir à Deactivate une fois qu’il est terminé.
Dois-je laisser Under Attack, Soft actif en permanence pour plus de sécurité ?
Non. Under Attack, Soft est conçu pour les incidents actifs et utilise des seuils plus stricts ainsi qu’une barrière de vérification renforcée qui peut, à la longue, gêner les utilisateurs légitimes. Le réglage de référence recommandé en production est Deactivate, qui exécute déjà l’ensemble de la pile de protection WGP. N’utilisez Under Attack, Soft que lorsque vous avez la preuve d’une attaque ciblée.
Si j’active Full Drop, les visiteurs verront-ils une page d’erreur WEDOS Protection ?
Non. Full Drop rejette silencieusement toutes les connexions TCP entrantes en bordure du proxy, aucune réponse HTTP n’est donc générée. Les visiteurs verront un dépassement du délai de connexion ou une réinitialisation de la connexion dans leur navigateur, et non une page WEDOS Protection. C’est intentionnel et c’est l’une des raisons pour lesquelles Full Drop est réservé aux situations de dernier recours.