Правила профиля защиты

Как посмотреть, какие политики фильтрации настроены для вашего ресурса.

Защитный профиль создают и настраивают инженеры Servicepipe — отредактировать его самостоятельно нельзя. Если нужно изменить политику фильтрации, напишите нам: скорректируем правила под ваши пожелания.

Что это

Правила профиля защиты — инструмент, показывающий, по какому набору правил система фильтрует трафик к вашим подсетям и IP-адресам во время DDoS-атак.

Например, вы увидите:

какие условия используются для проверки трафика (протокол, порт, размер пакета и другие параметры);
какое действие применяется к пакету, который совпал с условием (пропустить, сбросить или применить к соединению TCP- либо DNS-аутентификацию);
сколько трафика было отфильтровано с помощью конкретного правила.

Где находятся правила профиля защиты в UI

Перейдите в раздел Защита сети → Защитные профили. Напротив нужного профиля нажмите на многоточие (…) и выберите Правила профиля защиты.

Вы увидите состав защитного профиля, разбитый на три категории:

Правила — группы правил, по которым система фильтрует большую часть вашего трафика.
Цепочки — дополнительные наборы правил, которые применяются в особых случаях.
Списки — списки IP-адресов и подсетей, для которых нужно применять особые правила фильтрации (примеры: чёрный список, белый список).

Подробное описание каждой категории приводим ниже.

Пример данных для выбранной группы правил

Правила

Здесь вы увидите группы правил, по которым система фильтрует большую часть вашего трафика.

Виды групп правил

Каждая группа решает свою задачу: например, одна пропускает трафик с адресов из белого списка, а другая сбрасывает трафик, который превышает заданные лимиты.

Список групп зависит от состава вашего защитного профиля. Наши инженеры настраивают профиль индивидуально под каждого клиента: учитывают особенности вашего трафика и данные из опросника на подключение защиты. Поэтому названия групп, их состав и правила внутри могут отличаться от описания ниже.

Например, список групп может выглядеть так:

По клику на название группы вы увидите:

правила фильтрации, которые в неё входят;
графики: сколько трафика было отфильтровано конкретным правилом из этой группы.

Ниже — примеры групп и задач, которые они решают. Они помогут разобраться в логике фильтрации, даже если группы в вашем профиле называются иначе.

Зачем нужна группа Как работает Пример правила

WHITELIST

Отключить фильтрацию трафика с доверенных адресов

Проверяет, есть ли адрес источника в белом списке. Если есть, пакет пропускается к ресурсу без проверок.

Пакет пришёл с адреса 192.0.2.15 из белого списка → пропустить к ресурсу

BLACKLIST

Заблокировать трафик с адресов, которые не должны обращаться к вашему ресурсу

Проверяет, есть ли адрес источника в чёрном списке. Если есть, пакет сбрасывается.

Пакет пришёл с адреса 198.51.100.7 из чёрного списка → сбросить

GOTO CHAIN

Отправить трафик на фильтрацию в цепочку

Проверяет трафик по заданным условиям и перенаправляет подходящие пакеты в указанную цепочку. Если условий нет, в цепочку перенаправляется весь трафик, дошедший до этой группы.

Пакет не был обработан группами WHITELIST и BLACKLIST → перенаправить в цепочку monitoring

UAD TRIGGER

Защитить ресурс от ботнетов

Мы ведём список IP-адресов, с которых идут атаки ботнетов.
Следим, сколько трафика с этих адресов приходит на подсети и IP-адреса, привязанные к вашему защитному профилю.
Если объём трафика превышает установленный в правиле порог, пакеты перенаправляются в цепочку servicepipe filter — набор контрмер, который мы собрали против трафика, характерного для отдельных ботнетов.

Мы не раскрываем состав списка и набор контрмер, поэтому они не отображаются в UI.

С адресов из списка ботнетов поступает больше 7000 пакетов в секунду → перенаправить на проверку в цепочку servicepipe filter

ACL

Отбросить нецелевой трафик

ACL (Access Control List, список управления доступом) мы формируем по данным из опросника на подключение. В нём вы указываете:

какие сервисы находятся за какими IP-адресами;
по каким протоколам к ним обращаются;
с каких портов источника;
на какие порты назначения.

Трафик, который не подходит под эту карту, сбрасывается: по другим протоколам и портам ресурс не ждёт взаимодействия.

На адрес веб-сервера 203.0.113.10 пришёл UDP-пакет на порт 53, хотя туда ожидается только TCP на порты 80 и 443 → сбросить

BASE RULES

Отсечь типовые L3/L4-атаки и некорректный трафик

Проверяет трафик на типовые признаки нелегитимной или аномальной активности: например, фрагментацию, некорректные параметры пакетов и признаки flood- и amplification-атак.

Подробнее о правилах.

Пришёл фрагментированный пакет → сбросить

TCP AND DNS AUTH

Отсечь трафик от источников, которые не могут пройти аутентификацию

Отправляет трафик на TCP- или DNS-аутентификацию. Источник, прошедший проверку, система запоминает на определённое время и не проверяет повторно. Трафик от источника, не прошедшего проверку, сбрасывается.

Пришёл UDP-пакет на порт 53 → отправить на DNS-аутентификацию

RATELIMITS

Ограничить трафик, который превышает заданные лимиты

Контролирует скорость или объём трафика. Лимит может считаться:

для каждого IP, с которого приходит трафик;
для каждого вашего IP, на который приходит трафик;
для всего трафика защитного профиля сразу.

При превышении лимита пакет сбрасывается, а IP источника может временно блокироваться.

Установлен лимит в 2000 UDP-пакетов в секунду с одного IP. 203.0.113.40 пытается отправить 5000 UDP-пакетов за секунду → заблокировать этот IP на 300 секунд.

Система проверяет каждый пакет по группам сверху вниз, в том порядке, в котором они отображаются в UI.

Если две группы конфликтуют, применяется та, которая сработала первой. Например, если группа WHITELIST стоит выше RATELIMITS, трафик с адресов из белого списка будет пропущен — даже если он превышает лимит.

Состав правил

В таблице вы увидите правила, по которым система фильтрует трафик.

Пример таблицы с базовыми правилами фильтрации

Каждое правило состоит из двух частей:

Правила — условия, которым должен соответствовать трафик.
Действия — что система сделает с трафиком, если условия выполняются.

Например, строку frag:, счётчик: IP_FRAG, Сброшено нужно читать так: если входящий IP-пакет фрагментирован, то поставить ему метку IP_FRAG и сбросить.

Что такое метка?

Метка — условное обозначение, с помощью которого можно понять, по какому правилу был отфильтрован пакет.

Пример: к правилу, которое сбрасывает фрагментированные IP-пакеты, привязана метка IP_FRAG. Когда приходит такой пакет, система сбрасывает его и добавляет в статистику информацию: +1 пакет с меткой IP_FRAG.

На основе собранных данных система формирует графики статистики. Они покажут, какой объём трафика получил конкретную метку — то есть был отфильтрован конкретным правилом.

Метка не всегда означает блокировку трафика. Есть метки-исключения, например:

WHITELIST — трафик от IP-адресов из белого списка. Система пропускает его к ресурсу.
DNS_AUTH — трафик, который система отправила на DNS-аутентификацию.

Трафик обычных пользователей (не из белого списка), который система пропустила на ваш ресурс, отдельной меткой не помечается.

Расшифровку меток читайте в статье Статистика по трафику защитного профиля.

Некоторые правила работают в связке, например:

Правила	Действия
icmp: echo_reply	Разрешено
icmp: echo_request	Разрешено
protocol: icmp Except Allowed	счётчик: ACL_ICMP Сброшено

Правила

Действия

icmp: echo_reply

Разрешено

icmp: echo_request

Разрешено

protocol: icmp Except Allowed

счётчик: ACL_ICMP

Сброшено

Эти правила совместно фильтруют ICMP-пакеты. Сначала система «разрешает» ping-запросы (echo_request) и ping-ответы (echo_reply), а затем обрабатывает весь ICMP-трафик, который не был разрешён: помечает его меткой ACL_ICMP и сбрасывает.

Действие Разрешено не означает, что такой трафик будет автоматически пропущен к вашему ресурсу. Система только помечает пакет как разрешённый и продолжает проверять его по следующим правилам.

Одна строка таблицы может содержать группу связанных правил. В этом случае будет указано их количество — например, 5 rules. Такую строку можно раскрыть.

Виды условий

Условия обычно записываются в формате параметр: значение. Например, protocol: udp означает UDP-трафик. Если параметров несколько, правило применяется к трафику, который соответствует всем указанным значениям. Например: protocol: udp dst: 53 означает UDP-трафик на порт назначения 53.

Ниже таблица с возможными условиями.

Условие Что значит Примеры / возможные значения

Условие	Что значит	Примеры / возможные значения
list	Список, который использует правило	`whitelist`, `blacklist`
src	IP или порт, откуда пришёл трафик	`192.0.2.15/32` или `0-1023`
dst	IP или порт, на который пришёл трафик	`198.51.100.21/32` или `443`
port	Порт источника или назначения — правило не учитывает направление	`53`
protocol	Протокол пакета	Один протокол (`tcp`) или несколько через запятую (`udp,tcp,icmp`)
len	Размер пакета в байтах	`76`, `100-1500`
Кроме <условие>	Весь трафик, кроме подходящего под указанное условие	`Кроме len: 76`
frag	Фрагментированный IP-пакет	`frag:`
tcpflags	Флаги, установленные в TCP-пакете	Возможные значения: `syn` — флаг синхронизации; `ack` — флаг подтверждения; `fin` — флаг завершения соединения; `rst` — флаг аварийного разрыва соединения; `psh` — флаг принудительной отправки данных; `urg` — флаг срочных данных; `ece` — флаг ECN-Echo; `cwr` — флаг уменьшения окна перегрузки. Запись флагов в правиле может включать один флаг (`syn`), несколько флагов через запятую (`syn,ack`) или пару «значение/маска» (`syn/syn,ack`). `Подробнее` Если указан один или несколько флагов, правило проверяет, что каждый из них установлен в пакете. Например: `syn` — проверяется, что установлен `syn`; `syn,ack` — проверяется, что установлены и `syn`, и `ack`. Если указана пара «значение/маска», то справа от слеша указаны флаги, которые правило проверяет, а слева — какие из них должны быть установлены. Например: `syn/syn,ack` означает, что правило проверяет и `syn`, и `ack`. Флаг `syn` должен быть установлен, а `ack` — не установлен. В маске может быть указано `all`. Например, `syn/all` означает, что правило проверяет все TCP-флаги, но установлен должен быть только `syn`.
icmp	Тип ICMP-сообщения	`echo_request` — запрос на проверку доступности узла `echo_reply` — ответ на запрос проверки доступности `unreach` — сообщение о недоступности узла или сервиса назначения `redirect` — переадресация трафика на другой шлюз
Except Allowed	Весь трафик, кроме разрешённого правилами выше	`Except Allowed`
bps	Порог по объёму трафика, бит в секунду	`35000000`, `800000000`
pps	Порог по количеству пакетов, пакетов в секунду	`50`, `2000`
limitType	Как система применяет лимит	`SOURCE_LIMIT` — отдельно для каждого IP-адреса источника `HOST_LIMIT` — отдельно для каждого IP-адреса назначения `PROFILE_LIMIT` — для всего трафика защитного профиля `BANDWIDTH_LIMIT` — для общей полосы трафика защитного профиля
syn	Как система проверяет источник, когда приходит TCP-пакет с флагом SYN	`hs` — система сама инициирует полное трёхэтапное TCP-рукопожатие (handshake) с источником. Если источник корректно отвечает и соединение устанавливается, система разрывает его с помощью пакета с флагом RST и считает аутентификацию успешной. `greylist` — система в течение 10 секунд сбрасывает все SYN- и SYN-ACK-пакеты от источника, а затем в течение 30 секунд ждёт от него новый пакет. Если источник повторяет попытку в это время, аутентификация считается успешной. `synack` — система отвечает на SYN-пакет пакетом SYN-ACK и ждёт от источника пакет с флагом RST. Если он приходит, аутентификация считается успешной. `none` — аутентификация не проводится
synAck	Как система проверяет источник, когда приходит TCP-пакет с флагами SYN-ACK	`hs` — система сама инициирует полное трёхэтапное TCP-рукопожатие (handshake) с источником. Если источник корректно отвечает и соединение устанавливается, система разрывает его с помощью пакета с флагом RST и считает аутентификацию успешной. `greylist` — система в течение 10 секунд сбрасывает все SYN- и SYN-ACK-пакеты от источника, а затем в течение 30 секунд ждёт от него новый пакет. Если источник повторяет попытку в это время, аутентификация считается успешной. `none` — аутентификация не проводится
except recorded	Источник, который недавно прошёл TCP- или DNS-аутентификацию, повторно не проверяется. Рядом отображается authtime — сколько секунд система его помнит.	`except recorded: authtime 3600`
asn	Номер автономной системы, которой принадлежит IP-адрес источника	`201706`
geoip	Страна или континент, к которым относится IP-адрес источника	`RU`, `BY`, `KZ`
seq	Последовательность байт в содержимом пакета	`\x35`, `\x00`

list

Список, который использует правило

whitelist, blacklist

src

IP или порт, откуда пришёл трафик

192.0.2.15/32 или 0-1023

dst

IP или порт, на который пришёл трафик

198.51.100.21/32 или 443

port

Порт источника или назначения — правило не учитывает направление

53

protocol

Протокол пакета

Один протокол (tcp) или несколько через запятую (udp,tcp,icmp)

len

Размер пакета в байтах

76, 100-1500

Кроме <условие>

Весь трафик, кроме подходящего под указанное условие

Кроме len: 76

frag

Фрагментированный IP-пакет

frag:

tcpflags

Флаги, установленные в TCP-пакете

Возможные значения:

syn — флаг синхронизации;
ack — флаг подтверждения;
fin — флаг завершения соединения;
rst — флаг аварийного разрыва соединения;
psh — флаг принудительной отправки данных;
urg — флаг срочных данных;
ece — флаг ECN-Echo;
cwr — флаг уменьшения окна перегрузки.

Запись флагов в правиле может включать один флаг (syn), несколько флагов через запятую (syn,ack) или пару «значение/маска» (syn/syn,ack).

Подробнее

Если указан один или несколько флагов, правило проверяет, что каждый из них установлен в пакете.

Например:

syn — проверяется, что установлен syn;
syn,ack — проверяется, что установлены и syn, и ack.

Если указана пара «значение/маска», то справа от слеша указаны флаги, которые правило проверяет, а слева — какие из них должны быть установлены.

Например: syn/syn,ack означает, что правило проверяет и syn, и ack. Флаг syn должен быть установлен, а ack — не установлен.

В маске может быть указано all. Например, syn/all означает, что правило проверяет все TCP-флаги, но установлен должен быть только syn.

icmp

Тип ICMP-сообщения

echo_request — запрос на проверку доступности узла

echo_reply — ответ на запрос проверки доступности

unreach — сообщение о недоступности узла или сервиса назначения

redirect — переадресация трафика на другой шлюз

Except Allowed

Весь трафик, кроме разрешённого правилами выше

Except Allowed

bps

Порог по объёму трафика, бит в секунду

35000000, 800000000

pps

Порог по количеству пакетов, пакетов в секунду

50, 2000

limitType

Как система применяет лимит

SOURCE_LIMIT — отдельно для каждого IP-адреса источника

HOST_LIMIT — отдельно для каждого IP-адреса назначения

PROFILE_LIMIT — для всего трафика защитного профиля

BANDWIDTH_LIMIT — для общей полосы трафика защитного профиля

syn

Как система проверяет источник, когда приходит TCP-пакет с флагом SYN

hs — система сама инициирует полное трёхэтапное TCP-рукопожатие (handshake) с источником. Если источник корректно отвечает и соединение устанавливается, система разрывает его с помощью пакета с флагом RST и считает аутентификацию успешной.

greylist — система в течение 10 секунд сбрасывает все SYN- и SYN-ACK-пакеты от источника, а затем в течение 30 секунд ждёт от него новый пакет. Если источник повторяет попытку в это время, аутентификация считается успешной.

synack — система отвечает на SYN-пакет пакетом SYN-ACK и ждёт от источника пакет с флагом RST. Если он приходит, аутентификация считается успешной.

none — аутентификация не проводится

synAck

Как система проверяет источник, когда приходит TCP-пакет с флагами SYN-ACK

none — аутентификация не проводится

except recorded

Источник, который недавно прошёл TCP- или DNS-аутентификацию, повторно не проверяется. Рядом отображается authtime — сколько секунд система его помнит.

except recorded: authtime 3600

asn

Номер автономной системы, которой принадлежит IP-адрес источника

201706

geoip

Страна или континент, к которым относится IP-адрес источника

RU, BY, KZ

seq

Последовательность байт в содержимом пакета

\x35, \x00

Виды действий

Здесь указано, что система сделает с трафиком, если правило сработает. Например, разрешит или сбросит пакет, отправит его на аутентификацию или перенаправит в другую цепочку.

Действие Что происходит с трафиком

Действие	Что происходит с трафиком
Принято	Пакет пропускается к вашему ресурсу
Сброшено	Пакет отбрасывается
Разрешено	Пакет помечается как разрешённый и продолжает проходить проверку по следующим правилам Эта отметка используется в правилах с `Except Allowed`: такие правила применяются ко всему трафику, который не был разрешён выше. Например, первым правилом можно пометить TCP-трафик как разрешённый, а следующим — сбросить все пакеты, кроме уже разрешённых TCP-пакетов.
Перенаправление в <название цепочки>	Пакет передаётся в цепочку, название которой указано в действии, и проходит проверку по её правилам
TCP аутентификация	TCP-трафик отправляется на дополнительную проверку — TCP-аутентификацию
DNS аутентификация	DNS-трафик отправляется на дополнительную проверку — DNS-аутентификацию
Временная блокировка на N sec.	Адрес источника временно блокируется на указанное время
Запись источника	Адрес источника запоминается системой. Само по себе действие ничего не делает с трафиком — оно нужно, чтобы правила узнали источник трафика. Например, источник прошёл TCP-аутентификацию: его адрес записывается, и пока запись действует, проходить аутентификацию заново он не будет. Рядом с действием может отображаться срок хранения записи. Например, «Запись источника на N sec».
Запись источника и сброс	Адрес источника запоминается, а текущий пакет сбрасывается
Ограничение полосы	Трафик сбрасывается, если превысил установленный лимит. Лимиты задают условия `bps`, `pps` и `limitType`

Принято

Пакет пропускается к вашему ресурсу

Сброшено

Пакет отбрасывается

Разрешено

Пакет помечается как разрешённый и продолжает проходить проверку по следующим правилам

Эта отметка используется в правилах с Except Allowed: такие правила применяются ко всему трафику, который не был разрешён выше.

Например, первым правилом можно пометить TCP-трафик как разрешённый, а следующим — сбросить все пакеты, кроме уже разрешённых TCP-пакетов.

Перенаправление в <название цепочки>

Пакет передаётся в цепочку, название которой указано в действии, и проходит проверку по её правилам

TCP аутентификация

TCP-трафик отправляется на дополнительную проверку — TCP-аутентификацию

DNS аутентификация

DNS-трафик отправляется на дополнительную проверку — DNS-аутентификацию

Временная блокировка на N sec.

Адрес источника временно блокируется на указанное время

Запись источника

Адрес источника запоминается системой.

Само по себе действие ничего не делает с трафиком — оно нужно, чтобы правила узнали источник трафика. Например, источник прошёл TCP-аутентификацию: его адрес записывается, и пока запись действует, проходить аутентификацию заново он не будет.

Рядом с действием может отображаться срок хранения записи. Например, «Запись источника на N sec».

Запись источника и сброс

Адрес источника запоминается, а текущий пакет сбрасывается

Ограничение полосы

Трафик сбрасывается, если превысил установленный лимит. Лимиты задают условия bps, pps и limitType

Графики статистики

Графики покажут, сколько трафика было отфильтровано конкретными правилами. Данные можно смотреть в двух единицах измерения: бит/с (bps) и пакет/с (pps).

Графики строятся только по правилам, к которым привязаны метки. Если у правила нет метки, трафик по нему здесь не отображается.

Пример графика для правил аутентификации

По умолчанию график строится за последние 7 дней. Чтобы изменить временной диапазон, нажмите Последние 7 дней и выберите нужный период.

Чтобы график обновлялся сам, нажмите 🔄 рядом с выбором периода и выберите частоту: выключена, 10/30 секунд, 5/10/15/30 минут или 1 час.

Справа находится легенда с метками. Нажмите на метку, чтобы скрыть или показать её график.

Вместо графика отображается «Нет доступной статистики», что это значит?

Это значит, что за выбранный период по выбранной группе правил нет данных.

Так бывает в двух случаях:

У правил нет меток.

Проверьте таблицу правил: если в столбце Действия нет счётчиков с метками статистики, это ожидаемое поведение — системе просто нечего отображать на графике.
За выбранный период правила не срабатывали.

Правила защитного профиля фильтруют трафик во время атаки. Если за выбранный период фильтрация не применялась, данных для графика не будет. Попробуйте выбрать более длительный период.

Если проблема сохраняется, напишите в поддержку — поможем разобраться.

Цепочки

Здесь вы увидите дополнительные наборы правил, которые применяются к трафику в особых случаях. Фильтрация с использованием цепочки проходит так:

Пакет проходит через основной набор правил.
Одно из основных правил применяет к пакету действие Перенаправление в <название цепочки>.
В цепочке пакет проходит проверку через дополнительный набор правил.
Цепочка применяет к пакету нужное действие — пропускает, сбрасывает или отправляет на аутентификацию.

Например, в списке вы можете увидеть monitoring. Это служебная цепочка. На этапе подключения продукта мы проводим через неё весь ваш трафик, чтобы определить пороги детекции. После настройки защиты monitoring больше не используется.

Для выбранной цепочки вы можете посмотреть на графике, сколько трафика прошло через неё, а в таблице под графиком — сами правила, по которым система обрабатывает трафик. Как читать график и таблицу, смотрите выше в разделе Правила.

Если в профиле отображаются другие цепочки, значит, их настроили под особенности вашего ресурса. Назначение конкретной цепочки уточните в поддержке.

Списки

Здесь вы найдёте списки IP-адресов и подсетей, для которых нужно применять особые правила фильтрации. В профиле могут быть:

белый список;
чёрный список;
дополнительные списки, которые наши инженеры создали под ваш ресурс.

Сам по себе список ничего не делает с трафиком. Действие выполняет правило, которое ссылается на список как на условие. Например, есть правило, которое проверяет, находится ли источник трафика в белом списке; если да, то пропускает такой трафик к ресурсу.

По клику на название списка откроется таблица с его содержимым.