[Sikkerhedsvejledning] IIS-forsvar mod små DDOS-angrebsinstanser

I de seneste dage er registreringssiden på virksomhedens officielle hjemmeside og forretningssystem ofte blevet angrebet af DDOS, hvilket har resulteret i 100% CPU-forbrug af IIS-applikationspoolen og 503 fejl ved adgang til hjemmesiden. Følgende er et resumé af modforanstaltningerne.

    1. Aktiver CPU-overvågningsfunktionen i IIS

    Denne tilgang kan anvendes til lavfrekvente DDOS. w3wp.exe er en tilknyttet proces i applikationspuljen, og når WEB-trafikken er høj, vil w3wp.exe optage mange systemressourcer. Under DDOS-angreb er det åbenlyse fænomen, at w3wp.exe optager 100% af CPU'en, og hjemmesiden nægtes adgang, hvilket gør det svært at logge ind på serveren eksternt. I denne situation foretages følgende optimeringer:

    1. Opret en separat applikationspulje for hver hjemmeside i IIS.

    2. Indstil CPU-overvågningsfunktionen for hver applikationspool: Når CPU'en i w3wp.exe overstiger 50% eller højere, vil den automatisk dræbe w3wp.exe proces, og overvågningsfrekvensen er 1 minut. Når en adgangsanmodning kommer ind, genstarter w3wp.exe uden at påvirke brugeradgangen.

2. Flowrensning

    Når hackere opdager, at lavniveau DDOS ikke længere virker, intensiverer de deres angreb. I begyndelsen var det gennemsnitlige antal samtidighed på vores officielle hjemmeside kun et par tusinde, men senere steg det til et gennemsnit på 16.000 samtidighed, med et maksimum på 70.000 samtidighed, så CPU-overvågningsfunktionen ovenfor ville være ineffektiv, fordi CPU'en efter w3wp.exe genstart igen vil nå 100% på meget kort tid.

    Antallet af samtidige forbindelser, der overvåges på det tidspunkt:

    CPU-forbrug og trafik (båndbreddegrænse 10M):

    Heldigvis er domænenavnet på den officielle hjemmeside registreret på Alibaba Cloud, og efter vi migrerer til Alibaba Cloud, vil det meste af den unormale trafik blive ryddet op ved brug af DDOS-beskyttelsesfunktionen i Cloud Shield, og CPU'en vil straks være normal, og den officielle hjemmeside vil blive genoplivet med fuld blod.

    Bemærk: Alibaba Clouds gratis DDoS-grundlæggende beskyttelsestærskel er 5Gbps, og hvis angrebstrafikken overstiger denne værdi, vil den blive blackhole'et, og tjenesten vil ikke være tilgængelig.

    Her er parametrene for cloud-serveren: