Metrik dan alarm

Sebagai praktik terbaik, Anda harus menggunakan alat pemantauan infrastruktur dan aplikasi untuk memeriksa ketersediaan aplikasi Anda untuk memastikan aplikasi Anda tidak terpengaruh oleh suatu DDoS peristiwa, sebagai opsi Anda dapat mengonfigurasi aplikasi dan infrastruktur Pemeriksaan kesehatan Rute 53 untuk sumber daya untuk membantu meningkatkan deteksi DDoS peristiwa. Untuk informasi selengkapnya tentang pemeriksaan kesehatan, lihat AWS WAF, Firewall Manager dan Shield Advanced Developer Guide.

Ketika metrik operasional kunci menyimpang secara substansif dari nilai yang diharapkan, penyerang mungkin mencoba menargetkan ketersediaan aplikasi Anda. Keakraban dengan perilaku normal aplikasi Anda, berarti Anda dapat mengambil tindakan lebih cepat ketika Anda mendeteksi anomali. Amazon CloudWatch dapat membantu dengan memantau aplikasi yang Anda jalankan AWS. Misalnya, Anda dapat mengumpulkan dan melacak metrik, mengumpulkan dan memantau file log, mengatur alarm, dan secara otomatis merespons perubahan sumber daya Anda AWS .

Jika Anda mengikuti arsitektur referensi DDoS -resilient saat merancang aplikasi Anda, serangan lapisan infrastruktur umum akan diblokir sebelum mencapai aplikasi Anda. Jika Anda berlangganan AWS Shield Advanced, Anda memiliki akses ke sejumlah CloudWatch metrik yang dapat menunjukkan bahwa aplikasi Anda sedang ditargetkan.

Misalnya, Anda dapat mengonfigurasi alarm untuk memberi tahu Anda ketika ada DDoS serangan yang sedang berlangsung, sehingga Anda dapat memeriksa kesehatan aplikasi Anda dan memutuskan apakah akan terlibat. AWS SRT Anda dapat mengonfigurasi DDoSDetected metrik untuk memberi tahu Anda jika serangan telah terdeteksi. Jika Anda ingin diperingatkan berdasarkan volume serangan, Anda juga dapat menggunakanDDoSAttackBitsPerSecond,DDoSAttackPacketsPerSecond, atau DDoSAttackRequestsPerSecond metrik. Anda dapat memantau metrik ini dengan mengintegrasikan CloudWatch dengan alat Anda sendiri atau dengan menggunakan alat yang disediakan oleh pihak ketiga, seperti Slack atau. PagerDuty

Serangan lapisan aplikasi dapat meningkatkan banyak CloudWatch metrik Amazon. Jika Anda menggunakan AWS WAF, Anda dapat menggunakan CloudWatch untuk memantau dan mengaktifkan alarm pada peningkatan permintaan yang telah Anda tetapkan AWS WAF untuk diizinkan, dihitung, atau diblokir. Ini memungkinkan Anda menerima pemberitahuan jika tingkat lalu lintas melebihi apa yang dapat ditangani aplikasi Anda. Anda juga dapat menggunakan Amazon CloudFront, Amazon Route 53, Application Load Balancer, Network Load Balancer, EC2 Amazon, dan metrik Auto Scaling yang CloudWatch dilacak untuk mendeteksi perubahan yang dapat mengindikasikan serangan. DDoS

Tabel berikut mencantumkan deskripsi CloudWatch metrik yang biasa digunakan untuk mendeteksi dan bereaksi terhadap DDoS serangan.

Tabel 3 - CloudWatch Metrik Amazon yang direkomendasikan

Topik	Metrik	Deskripsi
AWS Shield Advanced	DDoSDetected	Menunjukkan DDoS peristiwa untuk Nama Sumber Daya Amazon tertentu (ARN).
AWS Shield Advanced	DDoSAttackBitsPerSecond	Jumlah byte yang diamati selama suatu DDoS peristiwa untuk suatu peristiwa tertentuARN. Metrik ini hanya tersedia untuk DDoS peristiwa lapisan 3 atau 4.
AWS Shield Advanced	DDoSAttackPacketsPerSecond	Jumlah paket yang diamati selama DDoS acara tertentuARN. Metrik ini hanya tersedia untuk DDoS peristiwa lapisan 3 atau 4.
AWS Shield Advanced	DDoSAttackRequestsPerSecond	Jumlah permintaan yang diamati selama DDoS acara untuk spesifikARN. Metrik ini hanya tersedia untuk DDoS peristiwa lapisan 7 dan hanya dilaporkan untuk peristiwa lapisan 7 yang paling signifikan.
AWS WAF	AllowedRequests	Jumlah permintaan web yang diizinkan.
AWS WAF	BlockedRequests	Jumlah permintaan web yang diblokir.
AWS WAF	CountedRequests	Jumlah permintaan web yang dihitung.
AWS WAF	PassedRequests	Jumlah permintaan yang dilewati. Ini hanya digunakan untuk permintaan yang melalui evaluasi grup aturan tanpa mencocokkan aturan grup aturan mana pun.
Amazon CloudFront	Requests	Jumlah HTTP permintaan/S.
Amazon CloudFront	TotalErrorRate	Persentase semua permintaan yang kode HTTP statusnya 4xx atau5xx.
Amazon Route 53	HealthCheckStatus	Status titik akhir pemeriksaan kesehatan.
Penyeimbang Beban Aplikasi	ActiveConnectionCount	Jumlah total TCP koneksi bersamaan yang aktif dari klien ke penyeimbang beban, dan dari penyeimbang beban ke target.
Penyeimbang Beban Aplikasi	ConsumedLCUs	Jumlah unit kapasitas load balancer (LCU) yang digunakan oleh load balancer Anda.
Penyeimbang Beban Aplikasi	HTTPCode_ELB_4XX_Count HTTPCode_ELB_5XX_Count	Jumlah HTTP 4xx atau kode kesalahan 5xx klien yang dihasilkan oleh penyeimbang beban.
Penyeimbang Beban Aplikasi	NewConnectionCount	Jumlah total TCP koneksi baru yang dibuat dari klien ke penyeimbang beban, dan dari penyeimbang beban ke target.
Penyeimbang Beban Aplikasi	ProcessedBytes	Jumlah total byte yang diproses oleh penyeimbang beban.
Penyeimbang Beban Aplikasi	RejectedConnectionCount	Jumlah koneksi yang ditolak karena penyeimbang beban telah mencapai jumlah koneksi maksimumnya.
Penyeimbang Beban Aplikasi	RequestCount	Jumlah permintaan yang diproses.
Penyeimbang Beban Aplikasi	TargetConnectionErrorCount	Jumlah koneksi yang tidak berhasil dibuat antara penyeimbang beban dan target.
Penyeimbang Beban Aplikasi	TargetResponseTime	Waktu berlalu, dalam hitungan detik, setelah permintaan meninggalkan penyeimbang beban hingga respons dari target diterima.
Penyeimbang Beban Aplikasi	UnHealthyHostCount	Jumlah target yang dianggap tidak sehat.
Network Load Balancer	ActiveFlowCount	Jumlah total TCP arus bersamaan (atau koneksi) dari klien ke target.
Network Load Balancer	ConsumedLCUs	Jumlah unit kapasitas load balancer (LCU) yang digunakan oleh load balancer Anda.
Network Load Balancer	NewFlowCount	Jumlah total TCP arus baru (atau koneksi) yang ditetapkan dari klien ke target dalam periode waktu tersebut.
Network Load Balancer	ProcessedBytes	Jumlah total byte yang diproses oleh penyeimbang beban, termasuk header TCP /IP.
Global Accelerator	NewFlowCount	Jumlah total baru TCP dan UDP arus (atau koneksi) yang dibuat dari klien ke titik akhir dalam periode waktu.
Global Accelerator	ProcessedBytesIn	Jumlah total byte masuk yang diproses oleh akselerator, termasuk TCP header /IP.
Auto Scaling	GroupMaxSize	Ukuran maksimum grup Auto Scaling.
Amazon EC2	CPUUtilization	Persentase unit EC2 komputasi yang dialokasikan yang saat ini digunakan.
Amazon EC2	NetworkIn	Jumlah bita yang diterima oleh instans di semua antarmuka jaringan.

Untuk informasi selengkapnya tentang menggunakan Amazon CloudWatch untuk mendeteksi DDoS serangan pada aplikasi Anda, lihat Memulai dengan Amazon CloudWatch.

AWS mencakup beberapa metrik dan alarm tambahan untuk memberi tahu Anda tentang serangan dan untuk membantu Anda memantau sumber daya aplikasi Anda. AWS Shield Konsol atau API memberikan ringkasan peristiwa per akun dan rincian tentang serangan yang telah terdeteksi.

Aktivitas global yang terdeteksi oleh AWS Shield

Selain itu, dasbor lingkungan ancaman global memberikan informasi ringkasan tentang semua DDoS serangan yang telah terdeteksi oleh AWS. Informasi ini mungkin berguna untuk lebih memahami DDoS ancaman di populasi aplikasi yang lebih besar selain tren serangan, dan membandingkannya dengan serangan yang mungkin telah Anda amati.

Jika Anda berlangganan AWS Shield Advanced, dasbor layanan menampilkan metrik deteksi dan mitigasi tambahan serta detail lalu lintas jaringan untuk peristiwa yang terdeteksi pada sumber daya yang dilindungi. AWS Shield mengevaluasi lalu lintas ke sumber daya terlindungi Anda di berbagai dimensi. Ketika anomali terdeteksi, AWS Shield buat peristiwa dan laporkan dimensi lalu lintas tempat anomali diamati. Dengan mitigasi yang ditempatkan, ini melindungi sumber daya Anda dari menerima kelebihan lalu lintas dan lalu lintas yang cocok dengan tanda tangan DDoS acara yang diketahui.

Metrik deteksi didasarkan pada aliran jaringan sampel atau AWS WAF log ketika web ACL dikaitkan dengan sumber daya yang dilindungi. Metrik mitigasi didasarkan pada lalu lintas yang diamati oleh sistem mitigasi Shield. DDoS Metrik mitigasi adalah pengukuran lalu lintas yang lebih tepat ke sumber daya Anda.

Metrik kontributor teratas jaringan memberikan wawasan tentang dari mana lalu lintas berasal selama peristiwa yang terdeteksi. Anda dapat melihat kontributor volume tertinggi dan mengurutkan berdasarkan aspek seperti protokol, port sumber, dan TCP bendera. Metrik kontributor teratas mencakup metrik untuk semua lalu lintas yang diamati pada sumber daya sepanjang berbagai dimensi. Ini memberikan dimensi metrik tambahan yang dapat Anda gunakan untuk memahami lalu lintas jaringan yang dikirim ke sumber daya Anda selama acara berlangsung. Perlu diingat bahwa untuk serangan lapisan 3 atau 4 non-refleksi, alamat IP sumber mungkin telah dipalsukan dan tidak dapat diandalkan.

Dasbor layanan juga mencakup detail tentang tindakan yang diambil secara otomatis untuk mengurangi seranganDDoS. Informasi ini memudahkan untuk menyelidiki anomali, menjelajahi dimensi lalu lintas, dan lebih memahami tindakan yang diambil oleh Shield Advanced untuk melindungi ketersediaan Anda.