[Sikkerhetsveiledning] IIS-forsvar mot småskala DDOS-angrepsinstanser

I de siste dagene har registreringssiden til selskapets offisielle nettside og forretningssystem ofte blitt angrepet av DDOS, noe som har resultert i 100 % CPU-bruk av IIS-applikasjonspoolen og 503 feil ved tilgang til nettstedet. Følgende er en oppsummering av mottiltakene.

    1. Aktivere CPU-overvåkingsfunksjonen til IIS

    Denne tilnærmingen kan brukes for lavfrekvent DDOS. w3wp.exe er en tilknyttet prosess i applikasjonspoolen, og når WEB-trafikken er høy, vil w3wp.exe bruke mange systemressurser. Under DDOS-angrep er det åpenbare fenomenet at w3wp.exe opptar 100 % av CPU-en, og nettstedet nektes tilgang, noe som gjør det vanskelig å logge inn på serveren eksternt. For denne situasjonen gjøres følgende optimaliseringer:

    1. Sett opp en egen applikasjonspool for hvert nettsted i IIS.

    2. Sett CPU-overvåkingsfunksjon for hver applikasjonspool: Når CPU-en til w3wp.exe overstiger 50 % eller mer, vil den automatisk avslutte w3wp.exe prosess, og overvåkingsfrekvensen er 1 minutt. Hver gang en tilgangsforespørsel kommer inn, starter w3wp.exe på nytt uten å påvirke brukertilgangen.

2. Flytrensing

    Når hackere oppdager at lavnivå DDOS ikke lenger fungerer, intensiverer de angrepene sine. I begynnelsen var gjennomsnittlig antall samtidighet på vår offisielle nettside bare noen tusen, men senere økte det til et gjennomsnitt på 16 000 samtidighet, med maksimalt 70 000 samtidighet, slik at CPU-overvåkingsfunksjonen ovenfor ville være ineffektiv, fordi CPU-en etter w3wp.exe omstart vil nå 100 % igjen på svært kort tid.

    Antall samtidige tilkoblinger overvåket på det tidspunktet:

    CPU-bruk og trafikk (båndbreddegrense 10M):

    Heldigvis er det offisielle domenenavnet registrert på Alibaba Cloud, og etter at vi migrerer til Alibaba Cloud, vil mesteparten av den unormale trafikken bli ryddet opp ved å bruke DDOS-beskyttelsesfunksjonen til Cloud Shield, og CPU-en vil umiddelbart være normal, og den offisielle nettsiden vil bli gjenopplivet med full blod.

    Merk: Alibaba Clouds grunnleggende DDoS-terskel for DDoS er 5 Gbps, og hvis angrepstrafikken er høyere enn denne verdien, vil den bli svartholdet og tjenesten vil ikke være tilgjengelig.

    Her er parameterne til skyserveren: