[Sicherheits-Tutorial] IIS-Verteidigung gegen kleinschalige DDOS-Angriffsinstanzen

In den letzten Tagen wurde die Registrierungsseite der offiziellen Website und des Geschäftssystems des Unternehmens häufig von DDOS angegriffen, was zu einer 100%igen CPU-Auslastung des IIS-Anwendungspools und 503 Fehlern beim Zugriff auf die Website führte. Im Folgenden eine Zusammenfassung der Gegenmaßnahmen.

    1. Aktivieren Sie die CPU-Überwachungsfunktion von IIS

    Dieser Ansatz kann auch für niederfrequente DDoS verwendet werden. w3wp.exe ist ein zugehöriger Prozess des Anwendungspools, und wenn der WEB-Verkehr hoch ist, beansprucht w3wp.exe viele Systemressourcen. Bei DDOS-Angriffen ist das offensichtliche Phänomen, dass die w3wp.exe 100 % der CPU einnimmt und die Website der Zugriff verweigert wird, was die Anmeldung auf dem Server aus der Ferne erschwert. Für diese Situation werden folgende Optimierungen vorgenommen:

    1. Richte für jede Website im IIS einen separaten Anwendungspool ein.

    2. Setzen Sie die CPU-Überwachungsfunktion für jeden Anwendungspool ein: Wenn die CPU des w3wp.exe 50 % oder mehr überschreitet, wird w3wp.exe Prozess automatisch abgeschaltet, und die Überwachungsfrequenz beträgt 1 Minute. Wann immer eine Zugriffsanfrage eingeht, startet w3wp.exe neu, ohne den Benutzerzugriff zu beeinträchtigen.

2. Flussreinigung

    Wenn Hacker feststellen, dass niedrigstufiges DDOS nicht mehr funktioniert, intensivieren sie ihre Angriffe. Anfangs betrug die durchschnittliche Anzahl der Nebenläufigkeit auf unserer offiziellen Website nur wenige Tausend, später stieg sie aber auf durchschnittlich 16.000 Nebenläufigkeiten, mit einem Maximum von 70.000 Nebenwahl, sodass die oben genannte CPU-Überwachungsfunktion wirkungslos wäre, da nach dem w3wp.exe Neustart die CPU in sehr kurzer Zeit wieder 100 % erreicht.

    Die Anzahl der zu diesem Zeitpunkt überwachten gleichzeitigen Verbindungen:

    CPU-Auslastung und Datenverkehr (Bandbreitenbegrenzung 10M):

    Glücklicherweise ist der offizielle Website-Domainname auf Alibaba Cloud eingereicht, und nachdem wir zu Alibaba Cloud migrieren, wird der Großteil des abnormalen Datenverkehrs durch die DDOS-Schutzfunktion von Cloud Shield beseitigt, die CPU wird sofort normal sein, und die offizielle Website wird mit voller Kraft wiederbelebt.

    Hinweis: Der kostenlose DDoS-Schutzschwellenwert von Alibaba Cloud liegt bei 5 Gbit/s, und wenn der Angriffsverkehr über diesem Wert liegt, wird er gesperrt und der Dienst ist nicht mehr zugänglich.

    Hier sind die Parameter des Cloud-Servers: