[Οδηγός ασφαλείας] Άμυνα IIS έναντι επιθέσεων DDOS μικρής κλίμακας

Τις τελευταίες ημέρες, η σελίδα εγγραφής του επίσημου ιστότοπου και του επιχειρηματικού συστήματος της εταιρείας δέχεται συχνά επιθέσεις από DDOS, με αποτέλεσμα 100% χρήση CPU του χώρου συγκέντρωσης εφαρμογών IIS και σφάλματα 503 κατά την πρόσβαση στον ιστότοπο. Ακολουθεί μια περίληψη των αντιμέτρων.

    1. Ενεργοποιήστε τη λειτουργία παρακολούθησης CPU του IIS

    Αυτή η προσέγγιση μπορεί να ακολουθηθεί για DDOS χαμηλής συχνότητας. w3wp.exe είναι μια σχετική διαδικασία του χώρου συγκέντρωσης εφαρμογών και όταν η κίνηση WEB είναι υψηλή, w3wp.exe θα καταλαμβάνει πολλούς πόρους του συστήματος. Κάτω από επιθέσεις DDOS, το προφανές φαινόμενο είναι ότι η w3wp.exe καταλαμβάνει το 100% της CPU και ο ιστότοπος δεν έχει πρόσβαση, καθιστώντας δύσκολη την απομακρυσμένη σύνδεση στον διακομιστή. Για αυτήν την περίπτωση, γίνονται οι ακόλουθες βελτιστοποιήσεις:

    1. Ρυθμίστε ένα ξεχωριστό χώρο συγκέντρωσης εφαρμογών για κάθε τοποθεσία Web στις υπηρεσίες IIS.

    2. Ρυθμίστε τη λειτουργία παρακολούθησης CPU για κάθε ομάδα εφαρμογών: Όταν η CPU του w3wp.exe υπερβεί το 50% ή υψηλότερη, θα σκοτώσει αυτόματα w3wp.exe διαδικασία και η συχνότητα παρακολούθησης είναι 1 λεπτό. Κάθε φορά που έρχεται ένα αίτημα πρόσβασης, w3wp.exe επανεκκινείται χωρίς να επηρεάζεται η πρόσβαση του χρήστη.

2. Καθαρισμός ροής

    Όταν οι χάκερ διαπιστώνουν ότι το DDOS χαμηλού επιπέδου δεν λειτουργεί πλέον, εντείνουν τις επιθέσεις τους. Στην αρχή, ο μέσος αριθμός ταυτόχρονων στον επίσημο ιστότοπό μας ήταν μόνο μερικές χιλιάδες, αλλά αργότερα αυξήθηκε κατά μέσο όρο σε 16.000 ταυτόχρονους, με μέγιστο 70.000 ταυτόχρονους, έτσι ώστε η παραπάνω λειτουργία παρακολούθησης CPU θα ήταν αναποτελεσματική, επειδή μετά την επανεκκίνηση του w3wp.exe, η CPU θα φτάσει ξανά στο 100% σε πολύ σύντομο χρονικό διάστημα.

    Ο αριθμός των ταυτόχρονων συνδέσεων που παρακολουθούνται εκείνη τη στιγμή:

    Χρήση CPU και κίνηση (όριο εύρους ζώνης 10M):

    Ευτυχώς, το επίσημο όνομα τομέα του ιστότοπου τυχαίνει να έχει κατατεθεί στο Alibaba Cloud και μετά τη μετεγκατάσταση στο Alibaba Cloud, το μεγαλύτερο μέρος της μη φυσιολογικής κίνησης θα καθαριστεί χρησιμοποιώντας τη λειτουργία προστασίας DDOS του Cloud Shield και η CPU θα είναι αμέσως κανονική και ο επίσημος ιστότοπος θα αναστηθεί με πλήρες αίμα.

    Σημείωση: Το δωρεάν βασικό όριο προστασίας DDoS του Alibaba Cloud είναι 5 Gbps και εάν η κίνηση επίθεσης είναι υψηλότερη από αυτήν την τιμή, θα μαυρίσει και η υπηρεσία δεν θα είναι προσβάσιμη.

    Ακολουθούν οι παράμετροι του διακομιστή cloud: