[Biztonsági oktató] IIS védelem a kis léptékű DDOS támadások ellen

Az utóbbi napokban a vállalat hivatalos weboldalának és üzleti rendszerének regisztrációs oldalát gyakran támadta meg a DDOS, ami 100%-os CPU-használatot eredményezett az IIS alkalmazáspoolban, és 503 hiba miatt a weboldal elérésénél. Az alábbiakban összefoglaló az ellenintézkedésekről.

    1. Kapcsolja be az IIS CPU megfigyelő funkcióját

    Ez a megközelítés alacsony frekvenciájú DDOS esetén is alkalmazható. w3wp.exe az alkalmazáspoolhoz kapcsolódó folyamat, és ha a WEB forgalom magas, w3wp.exe rengeteg rendszererőforrást foglal el. A DDOS támadások esetén a nyilvánvaló jelenség, hogy a w3wp.exe a CPU 100%-át foglalja el, és a weboldal hozzáférése megtagadódik, ami megnehezíti a távoli bejelentkezést a szerverre. Ebben a helyzetben a következő optimalizációkat végzik:

    1. Hozz létre külön jelentkezési poolt minden weboldalhoz az IIS-ben.

    2. Állítsuk be a CPU monitorozási funkciót minden alkalmazáspoolhoz: Ha a w3wp.exe CPU-ja meghaladja az 50%-ot vagy annál magasabb, automatikusan megállítja w3wp.exe folyamatot, és a monitorozási frekvencia 1 perc. Amikor hozzáférési kérelm érkezik, w3wp.exe újraindul anélkül, hogy befolyásolná a felhasználói hozzáférést.

2. Áramlástisztítás

    Amikor a hackerek rájönnek, hogy az alacsony szintű DDOS már nem működik, fokozzák támadásaikat. Kezdetben a hivatalos weboldalunkon az átlagosan pár ezer egyidejű volt, de később az átlagosan 16 000 egyidejű egységre nőtt, maximum 70 000 egyidejű volt, így a fent említett CPU monitorozási funkció hatástalan lett volna, mert a w3wp.exe újraindítása után a CPU nagyon rövid időn belül ismét eléri a 100%-ot.

    Az akkoriban figyelt párhuzamos kapcsolatok száma:

    CPU-használat és forgalom (sávszélesség-korlát 10M):

    Szerencsére a hivatalos weboldal domain neve az Alibaba Cloud-on van bejegyezve, és miután átköltözünk az Alibaba Cloud-ra, a legtöbb rendellenes forgalom a Cloud Shield DDOS védelmi funkciójával megtisztítható, a CPU pedig azonnal normális lesz, és a hivatalos weboldal teljes életben újjáéled.

    Megjegyzés: Az Alibaba Cloud ingyenes DDoS alapvető védelmi küszöbértéke 5Gbps, és ha a támadási forgalom ennél nagyobb az érték, akkor fekete lyukba kerül, és a szolgáltatás nem lesz elérhető.

    Íme a felhőszerver paraméterei: