[Saugos pamoka] IIS apsauga nuo nedidelio masto DDOS atakų egzempliorių

Pastarosiomis dienomis DDOS dažnai atakavo oficialios įmonės svetainės ir verslo sistemos registracijos puslapį, todėl IIS programų telkinys buvo naudojamas 100% procesoriumi ir 503 klaidos prisijungiant prie svetainės. Toliau pateikiama atsakomųjų priemonių santrauka.

    1. Įjunkite IIS procesoriaus stebėjimo funkciją

    Šis metodas gali būti taikomas žemo dažnio DDOS. w3wp.exe yra susijęs programų telkinio procesas, o kai WEB srautas yra didelis, w3wp.exe užims daug sistemos išteklių. DDOS atakų metu akivaizdus reiškinys yra tas, kad w3wp.exe užima 100% procesoriaus, o svetainei neleidžiama prieiti, todėl sunku prisijungti prie serverio nuotoliniu būdu. Esant tokiai situacijai, atliekami šie optimizavimai:

    1. Kiekvienai IIS svetainei nustatykite atskirą programų telkinį.

    2. Nustatykite procesoriaus stebėjimo funkciją kiekvienam programų telkiniui: kai w3wp.exe procesorius viršija 50% ar daugiau, jis automatiškai nužudys w3wp.exe procesą, o stebėjimo dažnis yra 1 minutė. Kai gaunama prieigos užklausa, w3wp.exe paleidžiama iš naujo, nepaveikdama vartotojo prieigos.

2. Srauto valymas

    Kai įsilaužėliai pastebi, kad žemo lygio DDOS nebeveikia, jie sustiprina savo atakas. Iš pradžių vidutinis lygiagrečių skaičius mūsų oficialioje svetainėje buvo tik keli tūkstančiai, tačiau vėliau jis padidėjo iki vidutiniškai 16 000 lygiagrečių, o maksimalus - 70 000 lygiagrečių, todėl aukščiau pateikta procesoriaus stebėjimo funkcija būtų neveiksminga, nes paleidus w3wp.exe iš naujo, procesorius per labai trumpą laiką vėl pasieks 100%.

    Tuo metu stebimų vienalaikių ryšių skaičius:

    Procesoriaus naudojimas ir srautas (pralaidumo riba 10M):

    Laimei, oficialus svetainės domeno vardas yra pateiktas "Alibaba Cloud", o po to, kai pereisime į "Alibaba Cloud", didžioji dalis nenormalaus srauto bus išvalyta naudojant "Cloud Shield" DDOS apsaugos funkciją, o procesorius iškart bus normalus, o oficiali svetainė bus prikelta pilnu krauju.

    Pastaba: "Alibaba Cloud" nemokamos DDoS pagrindinės apsaugos riba yra 5 Gbps, o jei atakos srautas yra didesnis už šią vertę, jis bus uždengtas ir paslauga nebus pasiekiama.

    Štai debesies serverio parametrai: