AWS Shield Advanced metriche

Shield Advanced pubblica le metriche di CloudWatch rilevamento, mitigazione e principali contributori di Amazon per tutte le risorse che protegge. Queste metriche migliorano la tua capacità di monitorare le tue risorse rendendo possibile la creazione e la configurazione di CloudWatch dashboard e allarmi per esse.

La console Shield Advanced presenta riepiloghi di molte delle metriche registrate. Per informazioni, consulta Visibilità sugli eventi DDoS.

Se abiliti la mitigazione automatica degli attacchi DDoS a livello di applicazione per una protezione a livello di applicazione,

Posizioni di segnalazione metrica

Shield Advanced riporta le metriche nella regione Stati Uniti orientali (Virginia settentrionale), us-east-1 per quanto segue:

• I servizi globali Amazon CloudFront e Amazon Route 53.

• Gruppi di protezione. Per informazioni sui gruppi di protezione, vedereAWS Shield Advanced gruppi di protezione.

Per altri tipi di risorse, Shield Advanced riporta le metriche nella regione della risorsa.

Tempistica della rendicontazione delle metriche

Shield Advanced riporta i parametri ad Amazon CloudWatch su una AWS risorsa più frequentemente durante gli eventi DDoS rispetto a quando non è in corso alcun evento. Shield Advanced riporta le metriche una volta al minuto durante un evento e poi una volta subito dopo la fine dell'evento.

Sebbene non sia in corso alcun evento, Shield Advanced riporta le metriche una volta al giorno, all'ora assegnata alla risorsa. Questo rapporto periodico mantiene le metriche attive e disponibili per l'uso in allarmi e dashboard personalizzati CloudWatch .

Consigli sugli allarmi

Ti consigliamo di creare allarmi per avvisarti di circostanze che richiedono attenzione. Come punto di partenza, puoi creare un allarme per ogni risorsa protetta che segnala quando la metrica di DDoSDetected rilevamento è diversa da zero. Un valore diverso da zero in questa metrica non implica necessariamente che sia in corso un attacco DDoS, ma consigliamo di esaminare più da vicino lo stato della risorsa quando la metrica si trova in questo stato.

In caso di inondazioni di richieste, ti consigliamo di creare allarmi per controlli compositi che tengano conto anche di fattori come lo stato delle applicazioni e il volume delle richieste web. Puoi scegliere di attivare un allarme in base alle altre tre metriche che segnalano il volume di traffico per varie dimensioni dei vettori di attacco. Considerando la capacità dell'applicazione e avvisando quando il traffico si avvicina alle limitazioni dell'applicazione, è possibile creare una serie di regole che avvisano l'utente quando necessario, senza troppi rumori indesiderati.

Metriche di rilevamento

Shield Advanced fornisce le metriche e le dimensioni nel AWS/DDoSProtection namespace.

Metriche di rilevamento
Parametro	Descrizione
DDoSDetected	Indica se è in corso un evento DDoS per un determinato Amazon Resource Name (ARN). Questa metrica ha un valore diverso da zero durante un evento.
DDoSAttackBitsPerSecond	Il numero di bit osservati durante un evento DDoS per un determinato Amazon Resource Name (ARN). Questa metrica è disponibile solo per gli eventi DDoS di rete e trasporto (livello 3 e livello 4). Questa metrica ha un valore diverso da zero durante un evento. Unità: bit
DDoSAttackPacketsPerSecond	Il numero di pacchetti osservati durante un evento DDoS per un determinato Amazon Resource Name (ARN). Questa metrica è disponibile solo per gli eventi DDoS di rete e trasporto (livello 3 e livello 4). Questa metrica ha un valore diverso da zero durante un evento. Unità: pacchetti
DDoSAttackRequestsPerSecond	Il numero di richieste osservate durante un evento DDoS per un determinato Amazon Resource Name (ARN). Questo parametro è disponibile solo per gli eventi DDoS di livello 7. Il parametro è segnalato solo per gli eventi di livello 7 più significativi. Questa metrica ha un valore diverso da zero durante un evento. Unità: richieste

Shield Advanced pubblica la DDoSDetected metrica senza altre dimensioni. Le metriche di rilevamento rimanenti includono le AttackVector dimensioni che corrispondono al tipo di attacco, dal seguente elenco:

• ACKFlood

• ChargenReflection

• DNSReflection

• GenericUDPReflection

• MemcachedReflection

• MSSQLReflection

• NetBIOSReflection

• NTPReflection

• PortMapper

• RequestFlood

• RIPReflection

• SNMPReflection

• SSDPReflection

• SYNFlood

• UDPFragment

• UDPTraffic

• UDPReflection

Metriche di mitigazione

Shield Advanced fornisce metriche e dimensioni nel AWS/DDoSProtection namespace.

Metriche di mitigazione
Parametro	Descrizione
VolumePacketsPerSecond	Il numero di pacchetti al secondo che sono stati eliminati o passati da una mitigazione implementata in risposta a un evento rilevato. Unità: pacchetti

Dimensioni di mitigazione
Dimensione	Descrizione
ResourceArn	Nome della risorsa Amazon (ARN)
MitigationAction	Il risultato di una mitigazione applicata. I valori possibili sono Pass o Drop.

Principali metriche dei contributori

Shield Advanced fornisce metriche nel AWS/DDoSProtection namespace.

Principali metriche dei contributori
Parametro	Descrizione
VolumePacketsPerSecond	Il numero di pacchetti al secondo per un collaboratore principale. Unità: pacchetti
VolumeBitsPerSecond	Il numero di bit al secondo per un collaboratore principale. Unità: bit

Shield Advanced pubblica le metriche dei principali contributori in base alle combinazioni di dimensioni che caratterizzano i contributori dell'evento. Puoi utilizzare una delle seguenti combinazioni di dimensioni per tutte le metriche dei principali contributori:

• ResourceArn, Protocol

• ResourceArn, Protocol, SourcePort

• ResourceArn, Protocol, DestinationPort

• ResourceArn, Protocol, SourceIp

• ResourceArn, Protocol, SourceAsn

• ResourceArn, TcpFlags

Dimensioni dei principali contributori
Dimensione	Descrizione
ResourceArn	Amazon Resource Name (ARN).
Protocol	Nome del protocollo IP, TCP oppureUDP.
SourcePort	Porta TCP o UDP di origine.
DestinationPort	Porta TCP o UDP di destinazione.
SourceIp	Indirizzo IP di origine.
SourceAsn	Numero di sistema autonomo (ASN) di origine.
TcpFlags	Combinazione di flag presenti in un pacchetto TCP, separati da un trattino (). - I flag monitorati sono,,. ACK FIN RST SYN Questo valore di dimensione viene sempre visualizzato in ordine alfabetico. For example: ACK-FIN-RST-SYN, ACK-SYN e FIN-RST.