Eine der Websites, mit denen ich arbeite, hat vor kurzem begonnen, DoS'd zu bekommen. Es begann bei 30.000 U / min und jetzt bei 50.000 km / min. Die IPs sind so gut wie alle einzigartig, nicht im selben Subnetz und in mehreren Ländern. Sie fordern nur die Hauptseite an. Irgendwelche Tipps, wie man das aufhält?
Die Server laufen unter Linux mit dem Apache als Webserver.
Vielen Dank
security
ddos
denial-of-service
Wilhelm
quelle
quelle
Antworten:
Sie versuchen nicht nur, einem DoS standzuhalten, sondern auch einem DDoS, das verteilt und viel schwieriger zu handhaben ist.
Im Wesentlichen versuchen Sie, illegitimen Datenverkehr zu identifizieren und zu blockieren. Im Idealfall möchten Sie diesen Datenverkehr auf Null setzen (noch besser, Ihre Upstream-Anbieter sollten ihn auf Null setzen).
Die erste Anlaufstelle ist die Identifizierung. Sie müssen einen Weg finden, um den Datenverkehr zu identifizieren, der an Ihren Host gesendet wird. Ob es sich um einen allgemeinen Benutzeragenten handelt, ob es sich um die Tatsache handelt, dass sie keinen richtigen Browser verwenden ( TIPP: Verhalten sie sich wie richtige Browser - dh folgen Sie 301 Weiterleitungen), ob alle Anforderungen genau zur gleichen Zeit eingehen oder wie Viele Anfragen jede IP trifft Ihren Server pro Stunde.
Sie können sie nicht blockieren, ohne sie zu identifizieren, und Sie müssen einen Weg finden, dies zu tun.
Diese DDoS-Tools zur Schadensbegrenzung machen im Wesentlichen dasselbe, außer in Echtzeit und kosten eine Bombe. Die Hälfte der Zeit gibt es Fehlalarme oder das DDoS ist so groß, dass es sowieso keine Rolle spielt. Seien Sie also vorsichtig, wo Sie Ihr Geld hier anlegen, wenn Sie sich entscheiden, jetzt oder in Zukunft in eines davon zu investieren.
Denken Sie daran: 1. IDENTIFIZIEREN 2. BLOCK . 1 ist der schwierige Teil.
quelle
Sie gehen davon aus, dass dies eine absichtliche DDoS ist. Als erstes müssen Sie die IP-Adresse ändern. Wenn es nicht beabsichtigt ist, wird es aufhören.
Woher würden diese Anfragen kommen, wenn es nicht beabsichtigt ist? Es könnte zufällig sein oder es könnte ein falsches Ziel sein. Unwahrscheinlich, aber einen Versuch wert.
Sind Sie sicher, dass Sie nicht nur eine Menge legitimen Datenverkehrs erhalten? Vielleicht wurdest du mit einem Schrägstrich versehen oder so. Schauen Sie sich die Überweiser in den Protokollen an.
quelle
Verfügt Ihr Front-End-Router / Load-Balancer nicht über ein DOS-Angriffsmanagement? Unsere tut es und es macht einen großen Unterschied.
quelle
Sie können Ihren Upstream-Anbieter bitten, seinen Upstream um Unterstützung zu bitten. Nehmen wir zum Beispiel an, Sie betreiben eine Website nur mit britischen Benutzern. Anschließend können Sie mithilfe einer whois-Datenbank überprüfen, woher der Datenverkehr im Allgemeinen stammt. Nehmen wir zum Beispiel an, dass ein erheblicher Teil Ihres unerwünschten Datenverkehrs aus Russland, China und / oder Korea stammt. Dann können Sie Ihren Upstream-Anbieter anrufen und ihn anrufen lassen, damit er Ihre IP-Adressen vorübergehend aus diesen Bereichen auf Null setzt, vorausgesetzt, er hat Router in der Nähe der Quellen.
Dies ist keine langfristige Lösung, aber es hilft, wenn Ihre Nutzerbasis in einigen geografischen Gebieten gruppiert ist. In der Vergangenheit habe ich Kunden wie diesen geholfen und sie einfach nicht angekündigt, auf Kollegen zu verzichten, sondern nur auf nationale. Dies hat einen Teil ihres Geschäfts weggenommen (Benutzer, die sie als nicht erreichbar empfanden, weil sie nicht mehr international verfügbar waren), aber es ist viel besser, als nur außer Betrieb zu sein.
Aber am Ende des Tages ist dies eher eine verzweifelte Handlung. Aber es ist besser, ein Glied abzuschneiden, als den Körper zu verlieren.
Wenn Sie Glück haben, verfügt Ihr Upstream-Anbieter über die Ausrüstung und ist bereit, Ihnen dabei zu helfen, den größten Teil des unerwünschten Datenverkehrs wegzufiltern.
Viel Glück :-)
quelle