La résilience comporte plusieurs couches
Comprendre l'enveloppe d'atténuation prévue et les couches dont votre application a encore besoin.
Contenu révisé · Français
- Plage de capacité du catalogue
- 10–400 Gbps
- Couches à distinguer
- L3 / L4 / L7
- Cible de détection préparée
- En moins de 60 secondes
Spécifications d'atténuation par offre préparées.
Nécessite un fournisseur d'atténuation en direct et une mesure.
Gardez ces éléments en vue.
- Une enveloppe d'atténuation de 400 Gbps n'est pas un port serveur de 400 Gbps.
- Le filtrage réseau et la protection des applications couvrent des problèmes différents.
- La capacité et le timing sont des spécifications préparées, sans atténuation en direct associée.
La capacité appartient à un forfait exact
Le catalogue préparé spécifie des capacités d'atténuation de 10 à 400 Gbps. Comparez le chiffre du forfait sélectionné plutôt que de supposer que chaque produit inclut l'enveloppe la plus large. La capacité d'atténuation, la vitesse du port du serveur et l'allocation de transfert mensuelle décrivent des limites différentes.
De la détection au filtrage du trafic
La conception réseau proposée détecte une attaque, redirige le trafic via un filtrage et renvoie le trafic autorisé vers l'origine. Sa cible de détection et d'activation prévue est inférieure à 60 secondes. Une configuration de lancement doit vérifier le service en amont, la méthode de routage, la couverture des attaques et le comportement au-delà de la capacité incluse avant que cela ne devienne un engagement opérationnel.
Ce qu'un bouclier réseau ne résout pas
Le filtrage L3/L4 adresse les schémas de trafic réseau et de transport. Une requête de recherche coûteuse, un flot de connexions ou une exploitation applicative peuvent encore nécessiter des contrôles L7 : mise en cache, limites de requêtes, authentification, un WAF le cas échéant et un réglage applicatif. Chiffrez le trafic d'origine et restreignez l'accès direct lors de l'utilisation d'un proxy.
Rendez la réponse observable
Enregistrez le premier symptôme, la portée, les taux de requêtes, les compteurs réseau et la chronologie des tickets. Conservez un statut indépendant et une voie de rétablissement. Décidez à l'avance qui peut modifier le filtrage ou bloquer un chemin bruyant ; des règles d'urgence trop larges peuvent aussi interrompre des utilisateurs légitimes.
- Demandez quels types d'attaques et quelles destinations sont couverts.
- Demandez si les attaques importantes déclenchent une route nulle, des frais supplémentaires ou un examen manuel.
- Testez les alertes et la récupération après la suppression du filtrage.
Reconnaître le modèle de trafic
La réflexion et l'amplification UDP peuvent abuser des services DNS, NTP, SSDP ou memcached exposés. Les inondations SYN sollicitent la gestion des connexions, tandis que des requêtes applicatives coûteuses répétées peuvent épuiser CPU ou une base de données à un débit binaire bien plus faible. Identifiez le schéma avant de choisir une réponse ; un pare-feu local ne peut pas récupérer la bande passante déjà saturée en amont.
- Restreignez les services exposés pour que le serveur ne devienne pas un réflecteur.
- Anycast peut répartir l'entrée sur plusieurs sites, mais le routage BGP ne garantit pas le site géographiquement le plus proche ni ne réplique l'état de l'application.
- Ce sont des concepts de conception réseau ; aucun réseau anycast OmbraHost ni chemin de scrubbing connecté n'est affirmé.
Questions, réponses.
Chaque produit est-il protégé à 400 Gbps ?
Non. Le catalogue liste la valeur d'atténuation sur chaque plan. Utilisez ce chiffre exact avec son port et son allocation de transfert.
Cela inclut-il un WAF géré ?
La spécification locale n’établit pas de WAF géré connecté. Le filtrage et le réglage applicatifs doivent être explicitement inclus dans un futur contrat en production.
Tout le trafic légitime restera-t-il intact ?
Le filtrage nécessite des seuils et peut produire des faux positifs. Un opérateur en direct doit expliquer l'escalade, les exclusions et la manière dont les règles sont ajustées pendant un incident.
L'atténuation est-elle toujours active ?
La conception préparée prévoit une détection et un filtrage automatiques du réseau, avec un objectif inférieur à 60 secondes. Aucun service d'atténuation amont actif n'est connecté à cette application.
Que se passe-t-il au-delà de l'enveloppe d'atténuation d'un forfait ?
Un contrat actif doit préciser l'escalade, l'examen manuel, l'éventuel routage nul et tout frais de capacité supplémentaire. Le catalogue n'invente pas de résultat opérationnel pour une attaque qu'il ne peut pas mesurer.
Le filtrage est-il basé uniquement sur le pays ?
Le blocage géographique est un contrôle différent et peut exclure des utilisateurs légitimes. Une conception en amont doit expliquer ses signaux d'attaque et ses règles de filtrage ; aucune revendication de nettoyage OmbraHost basé uniquement sur GeoIP n'est faite.
Quelle latence le filtrage ajoute-t-il ?
Il n'existe pas de chemin de filtrage OmbraHost mesuré. Testez la route réelle avant et pendant un exercice convenu ; une affirmation fixe de millisecondes non testée ne décrirait pas votre application.
Le filtrage peut-il être désactivé pour un test ?
Un opérateur de production doit examiner la portée et les risques avant tout changement. Le site web n'a pas d'interrupteur de filtrage en direct.