Uno de los sitios con los que trabajo recientemente comenzó a obtener DoS'd. Comenzó a 30k RPS y ahora está a 50k / min. Las IP son prácticamente todas únicas, no están en la misma subred y se encuentran en varios países. Solo solicitan la página principal. ¿Algún consejo sobre cómo detener esto?
Los servidores se ejecutan en Linux con Apache como servidor web.
Gracias
security
ddos
denial-of-service
Guillermo
fuente
fuente
Respuestas:
No solo estás tratando de soportar un DoS, estás tratando de soportar un DDoS, que es distribuido y mucho más difícil de manejar.
Básicamente, está tratando de identificar el tráfico ilegítimo y bloquearlos. Idealmente, desea enrutar nulo este tráfico (incluso mejor haga que sus proveedores ascendentes lo enruten nulo).
El primer puerto de escala es la identificación. Debe encontrar alguna forma de identificar el tráfico que se envía a su host. Ya sea que se trate de un agente de usuario común, ya sea por el hecho de que en realidad no están utilizando un navegador adecuado ( SUGERENCIA: ¿actúan como navegadores adecuados? Muchas solicitudes cada IP está llegando a su servidor por hora.
No puede bloquearlos sin identificarlos y necesita encontrar alguna forma de hacerlo.
Esas herramientas de mitigación de DDoS esencialmente hacen lo mismo, excepto en tiempo real y cuestan una bomba. La mitad de las veces hay falsos positivos o el DDoS es tan grande que no importa de todos modos, así que tenga cuidado de dónde pone su dinero aquí si decide invertir en uno de ellos ahora o en el futuro.
Recuerde: 1. IDENTIFICAR 2. BLOQUEAR . 1 es la parte difícil.
fuente
Estás asumiendo que este es un DDoS intencional. Lo primero que debe intentar es cambiar la dirección IP. Si de hecho no es intencional, se detendrá.
¿De dónde vendrían estas solicitudes si no es intencional? Podría ser aleatorio, o podría ser un objetivo equivocado. Poco probable, pero vale la pena intentarlo.
¿Estás seguro de que no solo estás recibiendo un montón de tráfico legítimo? Tal vez has sido tachado, o algo así. Intenta mirar a los referentes en los registros.
fuente
¿Su enrutador front-end / equilibrador de carga no tiene administración de ataques DOS? El nuestro lo hace y hace un mundo de diferencia.
fuente
Puede pedirle a su proveedor ascendente que le pida ayuda a su proveedor ascendente. Digamos, por ejemplo, que ejecuta un sitio web solo con usuarios del Reino Unido. Luego, puede verificar dónde se origina el tráfico en general utilizando alguna base de datos whois. Digamos, por ejemplo, que una cantidad significativa de su tráfico no deseado se origina en Rusia, China y / o Corea. Luego puede llamar a su proveedor ascendente y hacer que llame a los suyos para que anulen temporalmente sus direcciones IP de estas áreas, suponiendo que tengan enrutadores cerca de las fuentes.
Esta no es una solución a largo plazo, pero ayuda si su base de usuarios está agrupada en algunas áreas geográficas. En el pasado, he ayudado a clientes como este, simplemente no anunciando a sus compañeros extranjeros, solo nacionales. Esto les quitó parte de su negocio (usuarios que los encontraron inalcanzables porque ya no estaban disponibles internacionalmente), pero es mucho mejor que simplemente estar fuera de servicio en general.
Pero al final del día esto es más un acto desesperado. Pero es mejor cortar una extremidad que perder el cuerpo.
Si tiene suerte, su proveedor de proveedores ascendentes tiene el equipo y está dispuesto a ayudarlo a filtrar la mayor parte del tráfico no deseado.
Buena suerte :-)
fuente