[Урок по безопасност] IIS Защита срещу малки DDOS атаки

През последните дни страницата за регистрация на официалния уебсайт и бизнес системата на компанията често е атакувана от DDOS, което води до 100% използване на CPU в пула на приложения на IIS и 503 грешки при достъп до сайта. Следва обобщение на контрамерките.

    1. Активирайте функцията за мониторинг на процесора в IIS

    Този подход може да се приложи за нискочестотни DDOS. w3wp.exe е свързан процес от пула на приложенията, и когато WEB трафикът е висок, w3wp.exe заема много системни ресурси. При DDOS атаки очевидният феномен е, че w3wp.exe заема 100% от процесора, а уебсайтът е отказан достъп, което затруднява дистанционното влизане в сървъра. За тази ситуация се правят следните оптимизации:

    1. Създайте отделен пул от приложения за всеки уебсайт в IIS.

    2. Задайте функция за мониторинг на CPU за всеки пул приложения: Когато CPU на w3wp.exe надвиши 50% или повече, процесът автоматично w3wp.exe ще бъде прекратен, а честотата на мониторинга е 1 минута. Винаги когато получи заявка за достъп, w3wp.exe се рестартира без да се повлияе на достъпа на потребителя.

2. Почистване на потока

    Когато хакерите установят, че ниско ниво DDOS вече не работи, те засилват атаките си. В началото средният брой конкурентности на официалния ни уебсайт беше само няколко хиляди, но по-късно се увеличи до средно 16 000 паралелности, с максимум 70 000, така че функцията за мониторинг на процесора по-горе щеше да бъде неефективна, защото след рестарта на w3wp.exe процесорът отново достига 100% за много кратко време.

    Броят на едновременноте връзки, наблюдавани по това време:

    Използване на процесора и трафик (ограничение на пропускателната способност 10M):

    За щастие, официалното домейн име на уебсайта е регистрирано в Alibaba Cloud и след като мигрираме към Alibaba Cloud, по-голямата част от необичайния трафик ще бъде почистен чрез DDOS защитата на Cloud Shield, процесорът веднага ще бъде нормален, а официалният уебсайт ще бъде възстановен с пълна сила.

    Забележка: Базовият праг за защита от безплатни DDoS на Alibaba Cloud е 5Gbps, и ако трафикът на атака е по-висок от тази стойност, той ще бъде блокиран и услугата няма да бъде достъпна.

    Ето параметрите на облачния сървър: