F5 AFM : préparer une protection DoS réseau

Protéger BIG-IP lui-même et protéger un service publié sont deux périmètres à distinguer. La documentation AFM décrit notamment les objets protégés et leurs profils DoS. Le choix doit suivre le trafic, le protocole et la ressource que l’on cherche à préserver.

Un profil peut couvrir des vecteurs réseau, DNS ou SIP dans son périmètre documenté. Les contrôles de disponibilité de LTM et les protections DoS ne mesurent pas le même phénomène. Un moniteur HTTP vert ne démontre pas qu’une saturation de connexions est maîtrisée.

Observez le trafic légitime et ses pointes, puis identifiez les vecteurs pertinents. Les modes et seuils automatiques ou manuels dépendent de la version et du vecteur. Une valeur faible choisie sans référence peut transformer une pointe métier en faux positif.

La détection, l’action de mitigation et la journalisation doivent être distinguées. Un événement détecté ne signifie pas qu’une action a réduit le trafic ou préservé le service. Vérifiez l’association du profil à l’objet et la configuration des traces nécessaires.

Une protection locale ne restaure pas une liaison amont déjà saturée. Le plan de disponibilité doit préciser les dépendances opérateur, réseau et applicatives. Les décisions de capacité et de protection sont complémentaires ; elles ne doivent pas être transformées en promesse d’immunité aux attaques.

Pour une recette, utilisez un périmètre autorisé et un protocole borné. Il n’est pas nécessaire de publier un générateur d’attaque pour comprendre la décision. Le dossier peut expliquer vecteur, observation de référence, action attendue et critères de disponibilité.

Un portail reçoit une pointe prévue pendant une campagne. Préparez les observations nécessaires pour distinguer cette activité d’un scénario d’épuisement de ressources. Définissez qui décide d’un changement de seuil et comment vérifier ses conséquences.

Le livrable doit contenir le périmètre protégé, les traces et un retour arrière. Reliez-le aux guides ressources et DoS applicatif pour conserver la distinction entre couches réseau et HTTP.