Hvordan aktivere CC Attack Protection-modulen på IIS

Det såkalte CC-angrepet er et vanlig internettangrep der hackere bruker proxy-servere for å generere et stort antall forkledde IP-adresser og kontinuerlig få tilgang til et bestemt nettsted, noe som fører til at nettstedets CPU, samtidige tilkoblinger og andre ressurser blir brukt opp, mens andre vanlige besøkende ikke kan surfe på nettet. Akkurat som DDOS-angrep, kommer CC-angrep fra et stort antall falske IP-adresser, og angrepsformen er å sende et stort antall pakker til målnettstedet, så vi kan ikke nøyaktig finne IP-adressen til kilden til angrepet. Med mindre den andre partens angreps-IP-segmenter bare er noen få, slik at disse IP-segmentene kan blokkeres direkte på IIS, har IIS 6.0 og nyere versjoner funksjonen å blokkere individuelle IP-adresser eller et bestemt IP-segment, men IIS 6.0/7.0 kan fortsatt ikke håndtere et stort antall uregelmessige IP-adresser før IIS 8.0 kommer ut.

IIS 8.0 legger til tre nye funksjoner i IP-restriksjonsmodulen:

1. Dynamiske IP-begrensninger kan automatisk blokkere IP-adresser basert på antall samtidige forespørsler eller antall forespørsler over en periode.

2. Tradisjonelle IP-adressebegrensninger vil returnere en 403.6-feil (dvs. forbudt tilstand), og den nye versjonen av IIS kan også direkte avbryte forespørselen, eller returnere uautorisert eller ikke funnet.

3. Støtte proxy-modus, det vil si at i tillegg til å blokkere IP-adressen til direkte angrep, kan den også blokkere de virkelige hjernene bak angrepene utført av proxy-servere.

Som standard har ikke IIS 8.0 modulen "IP and Domain Restrictions" installert, vi må installere den separat i "Server Manager".

Deretter åpner vi IIS, klikker på nettsiden du vil sette, og klikker deretter på modulikonet «IP-adresse og domenebegrensninger», hovedgrensesnittet vises som følger.

I høyre operasjonslinje er det 4 punkter vi må vite.

1. Legg til tillatte oppføringer, det vil si legge til IP-adressene som er tillatt å få tilgang til. Når vi setter annen klienttilgang til "Nekt", kan kun disse IP-adressene få tilgang.

2. Legg til en nekt adgang, det vil si legg til IP-adressen som nekter tilgang. Når vi setter andre klienttilganger til "Tillat", kan kun disse IP-adressene ikke nås.

3. Rediger funksjonsinnstillingene, hvor du kan sette tilgangsrettigheter for andre klienter (anonyme brukere), om proxy-modus skal aktiveres, og typen avvisningsoperasjon.

(1) Standard tilgangsrettigheter for uspesifiserte klienter er tillatt, hvis du bare vil at dette nettstedet skal være tilgjengelig for spesifikke personer, må du justere det til "avslå" her, og deretter legge til en spesifikk IP-adresse i "Legg til tillatt adgang".

(2) Aktiver domenenavnbegrensninger, det vil si at i tillegg til IP-adresser kan du også sette tilgang til spesifikke domenenavn. Det bør bemerkes at denne prosessen vil bruke en viss mengde systemressurser for å løse domenenavnet til en IP-adresse, så ikke sjekk dette med mindre det er et spesifikt tilfelle.

(3) Aktiver proxy-modus, IIS vil oppdage x-forwarded-for-informasjonen i toppen av siden, bortsett fra klientens IP-adresse; hvis de to opplysningene er inkonsistente, bruker klienten vanligvis VPN eller andre proxy-verktøy for å få tilgang, noe som skjuler sin sanne identitet. Akkurat som domenebegrensninger, bruker denne funksjonen også systemressurser.

(4) Det finnes fire typer avvisningsoperasjoner, standard er forbudt (returnerer 403-kode), og du kan også velge andre typer, som uautorisert (returnerer 401), ikke funnet (returnerer 404) og avbrutt (stopper HTTP-tilkobling).

4. Rediger innstillingene for dynamisk restriksjon

Dette er det unike våpenet for å beskytte mot CC-angrep! Du kan velge å begrense basert på antall samtidige forespørsler, eller du kan velge å begrense basert på antall forespørsler over tid. Når et nettsted blir angrepet av CC, kan vi direkte sjekke disse to elementene, først bruke nummerparametrene anbefalt av IIS, observere beskyttelseseffekten, og deretter finjustere ytterligere. Merk at hvis du krysser av for «Aktiver kun logging», er det kun logger som er klare til å bli avvist som logges, og ikke faktisk blokkert, noe som egner seg for eksperimentering og feilsøking.

Selv om det fortsatt ikke finnes noen perfekt løsning for å beskytte mot CC-angrep, kan den dynamiske IP-adressebegrensningsfunksjonen som ble lagt til i IIS 8.0 sies å være nær bunnen og svært enkel å betjene. For å oppnå best mulig beskyttelse uten å påvirke normal brukertilgang, må vi gjentatte ganger eksperimentere med innstillingene ovenfor for å oppnå en balanse mellom beskyttelse mot angrep og vanlig surfing.