[Tutorial sulla sicurezza] Difesa IIS contro istanze di attacco DDOS su piccola scala

Negli ultimi giorni, la pagina di registrazione del sito ufficiale e del sistema aziendale dell'azienda è stata frequentemente attaccata da DDOS, con conseguente utilizzo del 100% della CPU del pool di applicazioni IIS e errori 503 nell'accesso al sito. Di seguito è riportato un riassunto delle contromisure.

    1. Abilitare la funzione di monitoraggio CPU di IIS

    Questo approccio può essere adottato per DDOS a bassa frequenza. w3wp.exe è un processo associato al pool di applicazioni e, quando il traffico WEB è elevato, w3wp.exe occuperà molte risorse di sistema. Negli attacchi DDOS, il fenomeno ovvio è che il w3wp.exe occupa il 100% della CPU e il sito web viene negato l'accesso, rendendo difficile accedere al server da remoto. Per questa situazione, vengono effettuate le seguenti ottimizzazioni:

    1. Impostare un pool di applicazioni separato per ogni sito web in IIS.

    2. Impostare la funzione di monitoraggio della CPU per ogni pool di applicazioni: Quando la CPU della w3wp.exe supera il 50% o più, w3wp.exe processo si interromperà automaticamente e la frequenza di monitoraggio è di 1 minuto. Ogni volta che arriva una richiesta di accesso, w3wp.exe riavvia senza influire sull'accesso degli utenti.

2. Pulizia del flusso

    Quando gli hacker scoprono che il DDOS a basso livello non funziona più, intensificano i loro attacchi. All'inizio, il numero medio di concorrenza sul nostro sito ufficiale era di poche migliaia, ma successivamente è aumentato a una media di 16.000 concorrenze, con un massimo di 70.000 concorrenza, quindi la funzione di monitoraggio CPU sopra riportata sarebbe inefficace, perché dopo il w3wp.exe riavvio, la CPU raggiungerà di nuovo il 100% in un periodo di tempo molto breve.

    Il numero di connessioni concorrenti monitorate in quel momento:

    Utilizzo della CPU e traffico (limite di larghezza di banda 10M):

    Fortunatamente, il nome di dominio ufficiale del sito web è registrato su Alibaba Cloud e, dopo la migrazione su Alibaba Cloud, la maggior parte del traffico anomalo verrà ripulita usando la funzione di protezione DDOS di Cloud Shield, e la CPU sarà immediatamente normale, e il sito ufficiale verrà rilanciato con tutto il sangue.

    Nota: la soglia di protezione DDoS gratuita di Alibaba Cloud è di 5Gbps e, se il traffico di attacco supera questo valore, verrà blackhole e il servizio non sarà più accessibile.

    Ecco i parametri del server cloud: