【安全チュートリアル】 小規模なDDOS攻撃に対するIIS防御

最近、同社の公式ウェブサイトおよび事業システムの登録ページがDDOS攻撃を頻繁に受けており、IISアプリケーションプールのCPU使用率が100%に達し、ウェブサイトへのアクセス時に503件のエラーが発生しています。 以下は対抗措置の概要です。

    1. IISのCPU監視機能を有効にする

    このアプローチは低周波DDOSにも適用可能です。 w3wp.exeアプリケーションプールに関連するプロセスであり、WEBトラフィックが多いと多くのシステムリソースw3wp.exe消費されます。 DDoS攻撃の場合、明らかな現象としてw3wp.exeがCPUの100%を占め、ウェブサイトへのアクセスが拒否され、遠隔でサーバーにログインするのが困難になります。 この状況に対して、以下の最適化が行われます:

    1. IIS内の各ウェブサイトごとに別々の申請プールを設定する。

    2. 各アプリケーションプールごとにCPU監視機能を設定:w3wp.exeのCPUが50%を超えると自動的にプロセスw3wp.exe終了し、監視周波数は1分となります。 アクセスリクエストが来ると、w3wp.exeユーザーアクセスに影響を与えずに再起動します。

2. フロークリーニング

    ハッカーが低レベルのDDOSが機能しなくなると、攻撃を強化します。 当初、公式サイトの平均並行回数は数千回でしたが、後に平均16,000回、最大70,000回に増加しました。そのため、上記のCPU監視機能は効果がなくなり、w3wp.exe再起動後は非常に短時間でCPUが再び100%に戻るためです。

    当時監視された同時接続数:

    CPU使用率とトラフィック(帯域幅制限10M)

    幸いにも、公式ウェブサイトのドメイン名はアリババクラウドに登録されており、アリババクラウドに移行すれば、クラウドシールドのDDOS保護機能を使ってほとんどの異常トラフィックがクリーンアップされ、CPUもすぐに正常に戻り、公式サイトもフル稼働で復活します。

    注:アリババクラウドの無料DDoS基本保護閾値は5Gbpsであり、攻撃トラフィックがこの値を超えるとブラックホールされ、サービスにアクセスできなくなります。

    クラウドサーバーのパラメータは以下の通りです: