[Tutoriel de sécurité] Défense IIS contre les attaques DDOS à petite échelle

Ces derniers jours, la page d’enregistrement du site officiel et du système professionnel de l’entreprise a été fréquemment attaquée par des DDOS, entraînant une utilisation à 100 % du pool d’applications IIS par le processeur et 503 erreurs lors de l’accès au site. Voici un résumé des contre-mesures.

    1. Activer la fonction de surveillance CPU de l’IIS

    Cette approche peut être adoptée pour les DDOS basse fréquence. w3wp.exe est un processus associé au pool d’applications, et lorsque le trafic WEB est élevé, w3wp.exe consomme beaucoup de ressources système. Lors des attaques DDOS, le phénomène évident est que le w3wp.exe occupe 100 % du processeur, et que le site web se voit refuser l’accès, rendant difficile la connexion à distance au serveur. Dans cette situation, les optimisations suivantes sont effectuées :

    1. Mettre en place un pool d’applications séparé pour chaque site web dans IIS.

    2. Définir la fonction de surveillance CPU pour chaque pool d’applications : lorsque le processeur du w3wp.exe dépasse 50 % ou plus, il arrête automatiquement w3wp.exe processus, et la fréquence de surveillance est de 1 minute. Chaque fois qu’une demande d’accès arrive, w3wp.exe redémarre sans affecter l’accès des utilisateurs.

2. Nettoyage par flux

    Lorsque les hackers constatent que le DDOS de bas niveau ne fonctionne plus, ils intensifient leurs attaques. Au début, le nombre moyen de concurrence sur notre site officiel n’était que de quelques milliers, mais il est ensuite passé à une moyenne de 16 000 concurrents, avec un maximum de 70 000 concurrents, de sorte que la fonction de surveillance CPU ci-dessus serait inefficace, car après le redémarrage w3wp.exe, le CPU atteindra à nouveau 100 % en très peu de temps.

    Le nombre de connexions simultanées surveillées à ce moment-là :

    Utilisation du processeur et trafic (limite de bande passante 10M) :

    Heureusement, le nom de domaine officiel du site officiel est enregistré sur Alibaba Cloud, et après notre migration vers Alibaba Cloud, la plupart du trafic anormal sera nettoyé grâce à la fonction de protection DDOS de Cloud Shield, et le processeur sera immédiatement normal, et le site officiel sera ressuscité en pleine forme.

    Note : Le seuil de protection DDoS gratuit d’Alibaba Cloud est de 5 Gbps, et si le trafic d’attaque dépasse cette valeur, il sera blackhole et le service ne sera pas accessible.

    Voici les paramètres du serveur cloud :