[Ohutusõpetus] IIS-i kaitse väikesemahuliste DDOS-rünnakute vastu

Viimastel päevadel on DDOS sageli rünnanud ettevõtte ametliku veebilehe ja ärisüsteemi registreerimislehte, mille tulemusena on IIS-i rakenduste basseini 100% protsessori kasutus ja veebilehele pääsemisel 503 viga. Järgnevalt on kokkuvõte vastumeetmetest.

    1. Luba IIS-i protsessori jälgimisfunktsioon

    Seda lähenemist saab kasutada madalsageduslike DDOS-i puhul. w3wp.exe on rakenduste basseini seotud protsess ning kui WEB-liiklus on suur, võtab w3wp.exe palju süsteemi ressursse. DDOS-rünnakute korral on ilmne nähtus see, et w3wp.exe hõivab 100% protsessorist ja veebilehele keelatakse ligipääs, mis teeb serverisse kaugjuhtimise keeruliseks. Selle olukorra jaoks tehakse järgmised optimeerimised:

    1. Loo iga IIS-i veebilehe jaoks eraldi rakenduste kogum.

    2. Seadista CPU jälgimisfunktsioon iga rakenduse basseinile: Kui w3wp.exe protsessor ületab 50% või rohkem, tapab protsess automaatselt w3wp.exe protsessi ning jälgimissagedus on 1 minut. Iga kord, kui sisenemistaotlus tuleb, taaskäivitub w3wp.exe ilma kasutaja ligipääsu mõjutamata.

2. Voolu puhastamine

    Kui häkkerid avastavad, et madala taseme DDOS enam ei tööta, intensiivistavad nad oma rünnakuid. Alguses oli meie ametlikul veebilehel keskmine samaaegsuse arv vaid paar tuhat, kuid hiljem kasvas see keskmiselt 16 000 samaaegsuseni, maksimaalselt 70 000 samaaegsuseni, mistõttu ülalmainitud CPU jälgimisfunktsioon oleks ebaefektiivne, sest pärast w3wp.exe taaskäivitust jõuab protsessor väga lühikese aja jooksul taas 100%-ni.

    Sel ajal jälgitavate samaaegsete ühenduste arv:

    Protsessori kasutus ja liiklus (ribalaiuse piirang 10M):

    Õnneks on ametlik domeeninimi registreeritud Alibaba pilves ning pärast üleminekut Alibaba Cloudile puhastatakse enamik ebatavalist liiklust Cloud Shieldi DDOS-kaitsefunktsiooni abil, protsessor muutub kohe normaalseks ja ametlik veebisait taaselustatakse täie verega.

    Märkus: Alibaba Cloudi tasuta DDoS-i põhiline kaitselävi on 5Gbps ning kui ründeliiklus on sellest kõrgem, siis see mustaks augu märgitakse ja teenus ei ole ligipääsetav.

    Siin on pilveserveri parameetrid: