[안전 튜토리얼] 소규모 DDOS 공격 인스턴스에 대한 IIS 방어

최근 며칠간 회사 공식 웹사이트와 비즈니스 시스템의 등록 페이지가 DDOS의 공격을 자주 받아 IIS 애플리케이션 풀의 CPU 사용량이 100%에 달하고, 웹사이트 접속 시 503개의 오류가 발생했습니다. 다음은 대응책 요약입니다.

    1. IIS의 CPU 모니터링 기능 활성화

    이 접근법은 저주파 DDoS에도 적용할 수 있습니다. w3wp.exe 애플리케이션 풀의 관련 프로세스이며, 웹 트래픽이 많을 때 w3wp.exe 많은 시스템 자원을 차지합니다. DDOS 공격 시 명백한 현상은 w3wp.exe가 CPU의 100%를 차지하고 웹사이트 접근이 거부되어 원격으로 서버에 로그인하기 어렵게 만든다는 점입니다. 이 상황에 대해, 다음과 같은 최적화가 이루어집니다:

    1. IIS 내 각 웹사이트별로 별도의 지원 풀을 설정하세요.

    2. 각 애플리케이션 풀에 대한 CPU 모니터링 기능 설정: w3wp.exe의 CPU가 50% 이상을 초과하면 자동으로 프로세스를 종료w3wp.exe 모니터링 주파수는 1분입니다. 접근 요청이 들어오면 사용자 접근에 영향을 주지 않고 w3wp.exe 재시작됩니다.

2. 유동 청소

    해커들이 저수준 DDoS가 더 이상 작동하지 않는다는 사실을 알게 되면, 공격을 강화합니다. 초기에는 공식 웹사이트의 평균 동시성 수가 몇 천 개에 불과했으나, 이후 평균 16,000개, 최대 70,000개로 증가해 위 CPU 모니터링 기능이 효과가 없게 되었습니다. w3wp.exe 재시작 후 CPU가 매우 짧은 시간 내에 다시 100%에 도달하기 때문입니다.

    당시 모니터링된 동시 연결 수:

    CPU 사용량 및 트래픽 (대역폭 제한 10M):

    다행히도 공식 웹사이트 도메인 이름은 알리바바 클라우드에 등록되어 있고, 알리바바 클라우드로 이전하면 대부분의 비정상적인 트래픽이 클라우드 쉴드의 DDOS 보호 기능을 사용해 정리되고 CPU는 즉시 정상으로 복구되며 공식 웹사이트가 완전한 혈액으로 부활할 것입니다.

    참고: 알리바바 클라우드의 무료 DDoS 기본 보호 임계값은 5Gbps이며, 공격 트래픽이 이 값보다 높으면 블랙홀링되어 서비스가 접근 불가능해집니다.

    다음은 클라우드 서버의 매개변수입니다: