[Tutorial de seguridad] Defensa IIS contra instancias de ataque DDOS a pequeña escala

En los últimos días, la página de registro del sitio web oficial y del sistema empresarial de la empresa ha sido atacada frecuentemente por DDOS, lo que ha provocado un uso del 100% de la CPU del pool de aplicaciones IIS y 503 errores al acceder al sitio web. A continuación se presenta un resumen de las contramedidas.

    1. Habilitar la función de monitorización de la CPU de IIS

    Este enfoque puede adoptarse para DDOS de baja frecuencia. w3wp.exe es un proceso asociado al pool de aplicaciones, y cuando el tráfico WEB es alto, w3wp.exe consumirá muchos recursos del sistema. Bajo ataques DDOS, el fenómeno evidente es que el w3wp.exe ocupa el 100% de la CPU y se niega el acceso al sitio web, dificultando el inicio de sesión remoto en el servidor. Para esta situación, se realizan las siguientes optimizaciones:

    1. Configurar un pool de aplicaciones separado para cada sitio web en IIS.

    2. Configurar la función de monitorización de la CPU para cada pool de aplicaciones: Cuando la CPU del w3wp.exe supera el 50% o más, se corta automáticamente w3wp.exe proceso y la frecuencia de monitorización es de 1 minuto. Cada vez que llega una solicitud de acceso, w3wp.exe se reinicia sin afectar el acceso del usuario.

2. Limpieza de flujo

    Cuando los hackers descubren que el DDOS de bajo nivel ya no funciona, intensifican sus ataques. Al principio, el número medio de concurrencia en nuestra web oficial era solo de unos pocos miles, pero luego aumentó a una media de 16.000 concurrencias, con un máximo de 70.000 concurrencias, de modo que la función de monitorización de la CPU mencionada anterior sería ineficaz, porque tras el reinicio w3wp.exe, la CPU volvería a alcanzar el 100% en muy poco tiempo.

    El número de conexiones concurrentes monitorizadas en ese momento:

    Uso de CPU y tráfico (límite de ancho de banda 10M):

    Por suerte, el nombre de dominio oficial de la web está registrado en Alibaba Cloud, y tras migrar a Alibaba Cloud, la mayor parte del tráfico anormal se limpiará usando la función de protección DDOS de Cloud Shield, y la CPU estará inmediatamente normal, y la web oficial resucitará con toda la energía.

    Nota: El umbral básico de protección DDoS gratuita de Alibaba Cloud es de 5Gbps, y si el tráfico de ataque es superior a este valor, se bloqueará y el servicio no será accesible.

    Estos son los parámetros del servidor en la nube: