**Présentation d'une nouvelle expérience de console pour AWS WAF**
Vous pouvez désormais utiliser l'expérience mise à jour pour accéder aux AWS WAF fonctionnalités n'importe où dans la console. Pour plus de détails, consultez la section [Utilisation de la console](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html).
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Détection basée sur l'état à l'aide de contrôles de santé avec Shield Advanced et Route 53
Vous pouvez configurer Shield Advanced pour utiliser la détection basée sur l'état de santé afin d'améliorer la réactivité et la précision de la détection et de l'atténuation des attaques. Vous pouvez utiliser cette option avec n'importe quel type de ressource, à l'exception des zones hébergées Route 53.
Pour configurer la détection basée sur l'état de santé, vous définissez un bilan de santé pour votre ressource dans Route 53, vous vérifiez qu'elle indique qu'elle est saine, puis vous l'associez à votre protection Shield Advanced. Pour plus d'informations sur les bilans de santé de Route 53, consultez [Comment Amazon Route 53 vérifie l'état de vos ressources](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/welcome-health-checks.html) et [Création, mise à jour et suppression de bilans de santé](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/health-checks-creating-deleting.html) dans le guide du développeur Amazon Route 53.
**Note**
Des bilans de santé sont requis pour le support d'engagement proactif de la Shield Response Team (SRT). Pour plus d'informations sur l'engagement proactif, consultez[Mettre en place un engagement proactif pour que le SRT vous contacte directement](ddos-srt-proactive-engagement.md).
Les bilans de santé mesurent l'état de santé de vos ressources en fonction des exigences que vous définissez. L'état du bilan de santé fournit des informations essentielles aux mécanismes de détection Shield Advanced, leur conférant une plus grande sensibilité à l'état actuel de vos applications spécifiques.
Vous pouvez activer la détection basée sur l'état de santé pour tous les types de ressources, à l'exception des zones hébergées Route 53.
+ **Ressources du réseau et de la couche transport (couche 3/couche 4)** : la détection basée sur l'intégrité améliore la précision de la détection et de l'atténuation des événements au niveau des couches réseau et transport pour les équilibreurs de charge réseau, les adresses IP élastiques et les accélérateurs standard Global Accelerator. Lorsque vous protégez ces types de ressources avec Shield Advanced, Shield Advanced peut atténuer les attaques de moindre envergure et atténuer plus rapidement les attaques, même lorsque le trafic est dans les limites des capacités de l'application.
Lorsque vous ajoutez une détection basée sur l'état de santé, pendant les périodes où le bilan de santé associé n'est pas satisfaisant, Shield Advanced peut appliquer des mesures d'atténuation encore plus rapidement et à des seuils encore plus bas.
+ **Ressources de la couche application (couche 7)** : la détection basée sur l'état de santé améliore la précision de la détection des inondations de requêtes Web pour les CloudFront distributions et les équilibreurs de charge des applications. Lorsque vous protégez ces types de ressources avec Shield Advanced, vous recevez des alertes de détection des inondations de requêtes Web en cas d'écart statistiquement significatif du volume de trafic combiné à des modifications importantes des modèles de trafic, en fonction des caractéristiques des demandes.
Grâce à la détection basée sur l'état de santé, lorsque le bilan de santé associé à Route 53 ne fonctionne pas correctement, Shield Advanced nécessite des écarts minimes pour alerter et signale les événements plus rapidement. À l'inverse, lorsque le bilan de santé associé à Route 53 est sain, Shield Advanced nécessite des écarts plus importants pour émettre une alerte.
L'utilisation d'un bilan de santé avec Shield Advanced vous sera particulièrement utile si le bilan de santé indique uniquement que votre application fonctionne selon des paramètres acceptables et qu'il ne l'est pas lorsque ce n'est pas le cas. Suivez les instructions de cette section pour gérer vos associations de bilans de santé dans Shield Advanced.
**Note**
Shield Advanced ne gère pas automatiquement vos bilans de santé.
Les éléments suivants sont nécessaires pour utiliser un bilan de santé avec Shield Advanced :
+ Le bilan de santé doit indiquer qu'il est sain lorsque vous l'associez à votre protection Shield Advanced.
+ Le bilan de santé doit être pertinent par rapport à l'état de santé de votre ressource protégée. Vous êtes responsable de définir et de maintenir des bilans de santé qui indiquent avec précision l'état de santé de votre application, en fonction des exigences spécifiques de votre application.
+ Le bilan de santé doit rester disponible pour être utilisé par la protection Shield Advanced. Ne supprimez pas un bilan de santé dans Route 53 que vous utilisez pour une protection Shield Advanced.
**Contents**
+ [Bonnes pratiques pour l'utilisation des contrôles de santé avec Shield Advanced](health-checks-best-practices.md)
+ [CloudWatch métriques couramment utilisées pour les bilans de santé avec Shield Advanced](health-checks-metrics.md)
+ [Métriques utilisées pour surveiller l'état de santé des applications](health-checks-metrics.md#health-checks-metrics-common)
+ [Statistiques CloudWatch Amazon pour chaque type de ressource](health-checks-metrics.md#health-checks-protected-resource-metrics)
+ [Associer un bilan de santé à votre ressource protégée par Shield Advanced](associate-health-check.md)
+ [Dissocier un bilan de santé de votre ressource protégée par Shield Advanced](disassociate-health-check.md)
+ [Afficher le statut d'une association de vérification de l'état dans Shield Advanced](health-check-association-status.md)
+ [Exemples de bilans de santé pour Shield Advanced](health-checks-examples.md)
+ [CloudFront Distributions Amazon](health-checks-examples.md#health-checks-example-cloudfront)
+ [Équilibreurs de charge](health-checks-examples.md#health-checks-example-load-balancer)
+ [Adresse IP Amazon EC2 Elastic (EIP)](health-checks-examples.md#health-checks-example-elastic-ip)
# Bonnes pratiques pour l'utilisation des contrôles de santé avec Shield Advanced
Suivez les meilleures pratiques décrites dans cette section lorsque vous créez et utilisez des tests de santé avec Shield Advanced.
+ Planifiez vos bilans de santé en identifiant les composants de votre infrastructure que vous souhaitez surveiller. Tenez compte des types de ressources suivants pour les bilans de santé :
+ Ressources critiques.
+ Toutes les ressources pour lesquelles vous souhaitez une plus grande sensibilité dans le cadre de la détection et de l'atténuation Shield Advanced.
+ Ressources pour lesquelles vous souhaitez que Shield Advanced vous contacte de manière proactive. L'engagement proactif est influencé par l'état de vos bilans de santé.
Parmi les ressources que vous souhaiterez peut-être surveiller, citons les CloudFront distributions Amazon, les équilibreurs de charge connectés à Internet et les instances Amazon EC2.
+ Définissez des contrôles de santé qui reflètent avec précision l'état de santé de l'origine de votre application avec le moins de notifications possible.
+ Rédigez des bilans de santé de manière à ce qu'ils ne soient défectueux que lorsque votre application n'est pas disponible ou ne fonctionne pas selon les paramètres acceptables. Vous êtes responsable de définir et de maintenir les bilans de santé en fonction des exigences spécifiques de votre application.
+ Effectuez le moins de bilans de santé possible tout en fournissant des rapports précis sur l'état de santé de votre application. Par exemple, plusieurs alarmes provenant de plusieurs domaines de votre application qui signalent toutes le même problème peuvent alourdir vos activités de réponse sans ajouter de valeur informative.
+ Utilisez des bilans de santé calculés pour surveiller l'état de santé des applications à l'aide d'une combinaison de CloudWatch mesures Amazon. Par exemple, vous pouvez calculer l'état de santé combiné en fonction de la latence de vos serveurs d'applications et de leurs taux d'erreur 5xx, ce qui indique que le serveur d'origine n'a pas répondu à la demande.
+ Créez et publiez vos propres indicateurs de santé des applications sous forme de métriques CloudWatch personnalisées selon les besoins et utilisez-les dans un bilan de santé calculé.
+ Mettez en œuvre et gérez vos bilans de santé afin d'améliorer la détection et de réduire les activités de maintenance inutiles.
+ Avant d'associer un bilan de santé à une protection Shield Advanced, assurez-vous qu'elle est en bon état. Associer un bilan de santé signalant un dysfonctionnement peut fausser les mécanismes de détection de Shield Advanced pour vos ressources protégées.
+ Gardez vos bilans de santé à la disposition de Shield Advanced. Ne supprimez pas un bilan de santé dans Route 53 que vous utilisez pour une protection Shield Advanced.
+ Utilisez des environnements de test et de test uniquement pour tester vos bilans de santé. Conservez les associations de contrôle de santé uniquement pour les environnements nécessitant des performances et une disponibilité au niveau de la production. Ne maintenez pas l'association entre les contrôles de santé dans Shield Advanced pour les environnements de préparation et de test.
# CloudWatch métriques couramment utilisées pour les bilans de santé avec Shield Advanced
Cette section répertorie les CloudWatch métriques Amazon couramment utilisées dans les bilans de santé pour mesurer l'état des applications lors d'événements de déni de service (DDoS) distribué. Pour obtenir des informations complètes sur les CloudWatch mesures pour chaque type de ressource, consultez la liste qui suit le tableau.
**Topics**
+ [Métriques utilisées pour surveiller l'état de santé des applications](#health-checks-metrics-common)
+ [Statistiques CloudWatch Amazon pour chaque type de ressource](#health-checks-protected-resource-metrics)
## Métriques utilisées pour surveiller l'état de santé des applications
| Ressource | Métrique | Description |
| --- | --- | --- |
| Route 53 | `HealthCheckStatus` | État du point de terminaison du bilan de santé. |
| CloudFront | `5xxErrorRate` | Pourcentage de toutes les demandes pour lesquelles le code d'état HTTP est 5xx. Cela indique une attaque qui a un impact sur l'application. |
| Application Load Balancer | `HTTPCode_ELB_5XX_Count` | Nombre de codes d'erreur client HTTP 5xx générés par l'équilibreur de charge. |
| Application Load Balancer | `RejectedConnectionCount` | Nombre de connexions rejetées parce que l'équilibreur de charge a atteint son nombre maximal de connexions. |
| Application Load Balancer | `TargetConnectionErrorCount` | Nombre de connexions qui n'ont pas été établies avec succès entre l'équilibreur de charge et la cible. |
| Application Load Balancer | `TargetResponseTime` | Temps écoulé en secondes après que la demande a quitté l'équilibreur de charge et lorsqu'elle a reçu une réponse de la cible. |
| Application Load Balancer | `UnHealthyHostCount` | Nombre de cibles considérées non saines. |
| Amazon EC2 | `CPUUtilization` | Pourcentage d'unités de EC2 calcul allouées actuellement utilisées. |
## Statistiques CloudWatch Amazon pour chaque type de ressource
Pour plus d'informations sur les mesures disponibles pour vos ressources protégées, consultez les sections suivantes des guides de ressources :
+ Amazon Route 53 — [Surveillez vos ressources grâce aux bilans de santé d'Amazon Route 53 et CloudWatch à Amazon](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/monitoring-cloudwatch.html) dans le guide du développeur Amazon Route 53.
+ Amazon CloudFront — [La surveillance CloudFront avec Amazon est décrite CloudWatch](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/monitoring-using-cloudwatch.html) dans le manuel Amazon CloudFront Developer Guide.
+ Application Load Balancer : [CloudWatch indicateurs relatifs à votre Application Load](https://docs.aws.amazon.com/elasticloadbalancing/latest/application/load-balancer-cloudwatch-metrics.html) Balancer dans le guide d'utilisation des Application Load Balancer.
+ Network Load Balancer : [CloudWatch indicateurs relatifs à votre Network Load](https://docs.aws.amazon.com/elasticloadbalancing/latest/network/load-balancer-cloudwatch-metrics.html) Balancer dans le guide de l'utilisateur pour les Network Load Balancers.
+ AWS Global Accelerator — [Utilisation CloudWatch d'Amazon AWS Global Accelerator](https://docs.aws.amazon.com/global-accelerator/latest/dg/cloudwatch-monitoring.html) dans le manuel du AWS Global Accelerator développeur.
+ Amazon Elastic Compute Cloud — [Répertoriez les CloudWatch métriques disponibles pour vos instances](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/viewing_metrics_with_cloudwatch.html) dans les https://docs.aws.amazon.com/AWSEC2/ dernières/ /. UserGuide
+ Amazon EC2 Auto Scaling — [Surveillez CloudWatch les métriques pour vos groupes et instances Auto Scaling](https://docs.aws.amazon.com/autoscaling/ec2/userguide/as-instance-monitoring.html) dans le guide de l'utilisateur d'Amazon EC2 Auto Scaling.
# Associer un bilan de santé à votre ressource protégée par Shield Advanced
La procédure suivante explique comment associer un bilan de santé Amazon Route 53 à une ressource protégée.
**Note**
Avant d'associer un bilan de santé à une protection Shield Advanced, assurez-vous qu'elle est en bon état. Pour plus d'informations, consultez la section [Surveillance de l'état du bilan de santé et réception de notifications](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/health-checks-monitor-view-status.html) dans le guide du développeur Amazon Route 53.
**Pour associer un bilan de santé**
1. Connectez-vous à la console AWS WAF & Shield AWS Management Console et ouvrez-la à l'adresse [https://console.aws.amazon.com/wafv2/](https://console.aws.amazon.com/wafv2/).
1. Dans le volet AWS Shield de navigation, sélectionnez **Ressources protégées**.
1. Dans l'onglet **Protections**, sélectionnez la ressource que vous souhaitez associer à un bilan de santé.
1. Choisissez **Configurer les protections**.
1. Choisissez **Suivant** jusqu'à ce que vous arriviez à la page **Configurer le contrôle de santé basé sur la détection DDo S *(facultatif)***.
1. Sous **Associated Health Check (Vérification de l’état de santé associée)**, choisissez l'ID de la vérification de l’état de santé que vous souhaitez associer à la protection.
**Note**
Si le bilan de santé dont vous avez besoin ne s'affiche pas, accédez à la console Route 53 et vérifiez le bilan de santé et son identifiant. Pour plus d'informations, consultez [Creating and Updating Health Checks (Création et mise à jour des vérifications de l’état de santé)](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/health-checks-creating.html).
1. Parcourez le reste des pages jusqu'à ce que vous ayez terminé la configuration. Sur la page **Protections**, votre association de contrôle de santé mise à jour est répertoriée pour la ressource.
1. Sur la page **Protections**, vérifiez que le bilan de santé que vous venez d'associer indique que vous êtes en bonne santé.
Vous ne pouvez pas commencer à utiliser un bilan de santé dans Shield Advanced alors que le bilan de santé indique un dysfonctionnement. Cela permet à Shield Advanced de détecter les faux positifs à des seuils très bas et peut également avoir un impact négatif sur la capacité de la Shield Response Team (SRT) à impliquer de manière proactive la ressource.
Si le nouveau bilan de santé associé indique un état insalubre, procédez comme suit :
1. Dissociez le bilan de santé de votre protection dans Shield Advanced.
1. Consultez les spécifications de votre bilan de santé dans Amazon Route 53 et vérifiez les performances et la disponibilité globales de vos applications.
1. Lorsque les performances de votre application sont conformes à vos paramètres de santé et que votre bilan de santé indique qu'il est bon, essayez à nouveau d'associer le bilan de santé dans Shield Advanced.
La procédure d'association de bilans de santé est terminée lorsque vous avez créé votre nouvelle association de bilans de santé et qu'elle indique qu'elle est saine dans Shield Advanced.
# Dissocier un bilan de santé de votre ressource protégée par Shield Advanced
La procédure suivante explique comment dissocier un bilan de santé Amazon Route 53 d'une ressource protégée.
**Pour dissocier un bilan de santé**
1. Connectez-vous à la console AWS WAF & Shield AWS Management Console et ouvrez-la à l'adresse [https://console.aws.amazon.com/wafv2/](https://console.aws.amazon.com/wafv2/).
1. Dans le volet AWS Shield de navigation, sélectionnez **Ressources protégées**.
1. Dans l'onglet **Protections**, sélectionnez la ressource que vous souhaitez dissocier d'un bilan de santé.
1. Choisissez **Configurer les protections**.
1. Choisissez **Suivant** jusqu'à ce que vous arriviez à la page **Configurer le contrôle de santé basé sur la détection DDo S *(facultatif)***.
1. Sous **Associated Health Check**, choisissez l'option vide, répertoriée sous la forme **-**.
1. Parcourez le reste des pages jusqu'à ce que vous ayez terminé la configuration.
Sur la page **Protections**, le champ de vérification de l'état de votre ressource est défini sur **-**, ce qui indique qu'il n'y a aucune association avec le bilan de santé.
# Afficher le statut d'une association de vérification de l'état dans Shield Advanced
Vous pouvez consulter l'état du bilan de santé associé à une protection sur la page des **ressources protégées** de la console AWS WAF & Shield et sur la page de détails de chaque ressource.
+ **En bonne** santé — Le bilan de santé est disponible et indique que vous êtes en bonne santé.
+ **Malsain** — Le bilan de santé est disponible et indique un état de santé malsain.
+ Non **disponible** — Le bilan de santé n'est pas disponible pour Shield Advanced.
**Pour résoudre un bilan de santé **non disponible****
Créez et utilisez un nouveau bilan de santé. N'essayez pas d'associer à nouveau un bilan de santé lorsqu'il est devenu indisponible dans Shield Advanced.
Pour obtenir des instructions détaillées sur la manière de suivre ces étapes, consultez les rubriques précédentes.
1. Dans Shield Advanced, dissociez le bilan de santé de la ressource.
1. Dans Route 53, créez un nouveau bilan de santé pour la ressource et notez son identifiant. Pour plus d'informations, consultez [Creating and Updating Health Checks](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/health-checks-creating.html) dans le manuel Amazon Route 53 Developer Guide.
1. Dans Shield Advanced, associez le nouveau bilan de santé à la ressource.
# Exemples de bilans de santé pour Shield Advanced
Cette section présente des exemples de bilans de santé que vous pourriez utiliser dans un bilan de santé calculé. Un bilan de santé calculé utilise un certain nombre de bilans de santé individuels pour déterminer un statut combiné. Le statut de chaque bilan de santé individuel est basé sur l'état d'un terminal ou sur l'état d'une CloudWatch métrique Amazon. Vous combinez les bilans de santé dans un bilan de santé calculé, puis vous configurez votre bilan de santé calculé pour signaler l'état de santé en fonction de l'état de santé combiné des bilans de santé individuels. Ajustez la sensibilité de vos bilans de santé calculés en fonction de vos exigences en matière de performances et de disponibilité des applications.
Pour plus d'informations sur les bilans de santé calculés, consultez [la section Surveillance des autres bilans de santé (bilans de santé calculés)](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/health-checks-creating-values.html#health-checks-creating-values-calculated) dans le manuel Amazon Route 53 Developer Guide. Pour plus d'informations, consultez le billet de blog [Améliorations de Route 53 — Calculated Health Checks and Latency Checks](https://aws.amazon.com/blogs/aws/route-53-improvements-calculated-health-checks-and-latency-checks/).
**Topics**
+ [CloudFront Distributions Amazon](#health-checks-example-cloudfront)
+ [Équilibreurs de charge](#health-checks-example-load-balancer)
+ [Adresse IP Amazon EC2 Elastic (EIP)](#health-checks-example-elastic-ip)
## CloudFront Distributions Amazon
Les exemples suivants décrivent les bilans de santé qui peuvent être combinés dans un bilan de santé calculé pour une CloudFront distribution :
+ Surveillez un point de terminaison en spécifiant un nom de domaine vers un chemin sur la distribution qui diffuse du contenu dynamique. Une réponse saine inclurait les codes de réponse HTTP 2xx et 3xx.
+ Surveillez l'état d'une CloudWatch alarme qui mesure l'état de santé de CloudFront son origine. Par exemple, vous pouvez maintenir une CloudWatch alarme sur la métrique `TargetResponseTime` Application Load Balancer et créer un bilan de santé qui reflète l'état de l'alarme. Le bilan de santé peut être défaillant lorsque le temps de réponse, entre la demande quittant l'équilibreur de charge et le moment où l'équilibreur de charge reçoit une réponse de la cible, dépasse le seuil configuré dans l'alarme.
+ Surveillez l'état d'une CloudWatch alarme qui mesure le pourcentage de demandes pour lesquelles le code d'état HTTP de la réponse est 5xx. Si le taux d'erreur 5xx de la CloudFront distribution est supérieur au seuil défini dans l' CloudWatch alarme, le statut de ce bilan de santé passe en état de mauvais état.
## Équilibreurs de charge
Les exemples suivants décrivent les contrôles de santé qui peuvent être utilisés dans les contrôles de santé calculés pour un accélérateur standard Application Load Balancer, Network Load Balancer ou Global Accelerator.
+ Surveillez l'état d'une CloudWatch alarme qui mesure le nombre de nouvelles connexions établies par les clients à l'équilibreur de charge. Vous pouvez définir le seuil d'alarme pour le nombre moyen de nouvelles connexions à un certain degré supérieur à votre moyenne quotidienne. Les mesures pour chaque type de ressource sont les suivantes :
+ Application Load Balancer : `NewConnectionCount`
+ Network Load Balancer : `ActiveFlowCount`
+ Accélérateur mondial : `NewFlowCount`
+ Pour Application Load Balancer et Network Load Balancer, surveillez l'état d' CloudWatch une alarme qui mesure le nombre d'équilibreurs de charge considérés comme sains. Vous pouvez définir le seuil d'alarme soit sur la zone de disponibilité, soit sur le nombre minimum d'hôtes sains requis par votre équilibreur de charge. Les mesures disponibles pour les ressources de l'équilibreur de charge sont les suivantes :
+ Application Load Balancer : `HealthyHostCount`
+ Network Load Balancer : `HealthyHostCount`
+ Pour Application Load Balancer, surveillez l'état d'une CloudWatch alarme qui mesure le nombre de codes de réponse HTTP 5xx générés par les cibles de l'équilibreur de charge. Pour un Application Load Balancer, vous pouvez utiliser la métrique `HTTPCode_Target_5XX_Count` et baser le seuil d'alarme sur la somme de toutes les erreurs 5xx de l'équilibreur de charge.
## Adresse IP Amazon EC2 Elastic (EIP)
Les exemples de tests de santé suivants peuvent être combinés dans un bilan de santé calculé pour une adresse IP Amazon EC2 Elastic :
+ Surveillez un point de terminaison en spécifiant une adresse IP pour l'adresse IP élastique. Le bilan de santé restera sain tant qu'une connexion TCP pourra être établie avec la ressource qui se trouve derrière l'adresse IP.
+ Surveillez l'état d'une CloudWatch alarme qui mesure le pourcentage d'unités de EC2 calcul Amazon allouées actuellement utilisées sur l'instance. Vous pouvez utiliser la EC2 métrique Amazon `CPUUtilization` et baser le seuil d'alarme sur ce que vous considérez comme un taux d'utilisation du processeur élevé pour votre application, tel que 90 %.