L'un des sites avec lesquels je travaille a récemment commencé à obtenir le DoS'd. Il a commencé à 30k RPS et maintenant c'est à 50k / min. Les IP sont à peu près toutes uniques, pas dans le même sous-réseau et se trouvent dans plusieurs pays. Ils ne demandent que la page principale. Des conseils sur la façon d'arrêter cela?
Les serveurs fonctionnent sous Linux avec Apache comme serveur Web.
Merci
security
ddos
denial-of-service
William
la source
la source
Réponses:
Vous n'essayez pas seulement de résister à un DoS, vous essayez de résister à un DDoS, qui est distribué et beaucoup plus difficile à gérer.
Essentiellement, vous essayez d'identifier le trafic illégitime et de le bloquer. Idéalement, vous souhaitez annuler le routage de ce trafic (mieux encore, demandez à vos fournisseurs en amont de le router nul.)
Le premier port d'escale est l'identification. Vous devez trouver un moyen d'identifier le trafic envoyé à votre hôte. Qu'il s'agisse d'un agent utilisateur commun, que ce soit le fait qu'ils n'utilisent pas réellement un navigateur approprié ( CONSEIL: agissent-ils comme des navigateurs appropriés - c'est-à-dire suivent les redirections 301), que toutes les demandes affluent en même temps ou par la façon dont de nombreuses requêtes chaque IP atteignent votre serveur par heure.
Vous ne pouvez pas les bloquer sans les identifier et vous devez trouver un moyen de le faire.
Ces outils d'atténuation DDoS font essentiellement la même chose, sauf en temps réel et coûtent une bombe. La moitié du temps, il y a des faux positifs ou le DDoS est si important qu'il n'a pas d'importance de toute façon, alors faites attention où vous placez votre argent ici si vous décidez d'investir dans l'un d'eux maintenant ou à l'avenir.
N'oubliez pas: 1. IDENTIFIER 2. BLOQUER . 1 est la partie difficile.
la source
Vous supposez qu'il s'agit d'un DDoS intentionnel. La première chose à essayer est de changer l'adresse IP. Si ce n'est pas intentionnel, cela s'arrêtera.
D'où viendraient ces demandes si elles ne sont pas intentionnelles? Cela pourrait être aléatoire, ou ce pourrait être une cible erronée. Peu probable, mais mérite un essai.
Êtes-vous sûr que vous n'obtenez pas seulement des tonnes de trafic légitime? Peut-être que vous avez été slashdotted, ou quelque chose. Essayez de regarder les référents dans les journaux.
la source
Votre routeur / équilibreur de charge frontal n'a-t-il pas la gestion des attaques DOS? Le nôtre fait et cela fait un monde de différence.
la source
Vous pouvez demander à votre fournisseur en amont de demander à son amont de l'aider. Disons par exemple que vous gérez un site Web uniquement avec des utilisateurs britanniques. Ensuite, vous pouvez vérifier d'où provient le trafic en général en utilisant une base de données whois. Disons par exemple qu'une part importante de votre trafic indésirable provient de Russie, de Chine et / ou de Corée. Ensuite, vous pouvez appeler votre fournisseur en amont et lui demander d'appeler le sien pour qu'il achemine temporairement vos adresses IP à partir de ces zones, en supposant qu'il dispose de routeurs proches des sources.
Ce n'est pas une solution à long terme mais cela aide si votre base d'utilisateurs est regroupée dans quelques zones géographiques. Dans le passé, Ive a aidé des clients comme celui-ci, ne les annonçant tout simplement pas à des pairs, juste nationaux. Cela a pris une partie de leur entreprise (les utilisateurs qui les trouvaient inaccessibles parce qu'ils n'étaient plus disponibles à l'international), mais c'est beaucoup mieux que d'être simplement hors service tous les jours.
Mais à la fin de la journée, c'est plus un acte désespéré. Mais il vaut mieux couper un membre que perdre le corps.
Si vous avez de la chance, votre fournisseur de fournisseurs en amont possède l'équipement et est prêt à vous aider à filtrer la plupart du trafic indésirable.
Bonne chance :-)
la source