Sur cette page
Reprendre les tests là où les utilisateurs échouaient
Un graphique revenu à la normale n’atteste pas du rétablissement du service. Rejouez le parcours qui échouait : ouverture d’une session, authentification, chargement d’une ressource ou échange UDP. Faites-le depuis les réseaux qui étaient touchés, puis depuis un réseau témoin.
Séparez les connexions nouvelles des sessions déjà établies. Une règle peut autoriser les secondes tout en empêchant les premières. Notez l’heure de chaque test et le point de mesure pour pouvoir les rapprocher des changements réseau.
Retirer les mesures temporaires sans perdre la visibilité
Dressez la liste des annonces de blackhole, règles FlowSpec, ACL et limitations ajoutées pendant l’incident. Pour chacune, consignez le périmètre, le responsable et la condition de retrait. Une règle encore active après la baisse du trafic peut expliquer une panne résiduelle.
Retirez les mesures par étapes, en contrôlant les compteurs et le service entre deux changements. Si une attaque reprend, la chronologie permet d’identifier la mesure utile sans rétablir toutes les restrictions indistinctement.
Conserver un dossier exploitable
Gardez les intervalles horaires, les préfixes affectés, les débits et taux de paquets aux différents points de mesure, ainsi que les modifications de routage. Distinguez les observations des hypothèses : une hausse de trafic ne prouve pas à elle seule l’origine d’une coupure.
Terminez le compte rendu par des actions attribuées : corriger un seuil, améliorer une sonde, vérifier une dépendance ou préciser l’escalade fournisseur. Ce guide concerne la reprise ; le plan d’urgence traite les premières minutes de l’attaque.
