[Veiligheidstutorial] IIS-verdediging tegen kleinschalige DDOS-aanvalsinstanties

In de afgelopen dagen is de registratiepagina van de officiële website en het bedrijfssysteem van het bedrijf vaak aangevallen door DDOS, wat resulteerde in 100% CPU-gebruik van de IIS-applicatiepool en 503 fouten bij het bezoeken van de website. Hieronder volgt een samenvatting van de tegenmaatregelen.

    1. Schakel de CPU-monitoringfunctie van IIS in

    Deze benadering kan worden gebruikt voor laagfrequente DDOS. w3wp.exe is een bijbehorend proces van de applicatiepool, en wanneer het WEB-verkeer hoog is, neemt w3wp.exe veel systeembronnen in beslag. Bij DDOS-aanvallen is het voor de hand liggende fenomeen dat de w3wp.exe 100% van de CPU in beslag neemt, en de website wordt de toegang geweigerd, waardoor het moeilijk wordt om op afstand in te loggen op de server. Voor deze situatie worden de volgende optimalisaties uitgevoerd:

    1. Richt een aparte applicatiepool in voor elke website in IIS.

    2. Stel de CPU-monitoringfunctie in voor elke applicatiepool: Wanneer de CPU van de w3wp.exe meer dan 50% of hoger is, wordt w3wp.exe proces automatisch uitgeschakeld en is de monitoringfrequentie 1 minuut. Telkens wanneer er een toegangsverzoek binnenkomt, start w3wp.exe opnieuw op zonder de gebruikerstoegang te beïnvloeden.

2. Stroomreiniging

    Wanneer hackers ontdekken dat laag-niveau DDOS niet meer werkt, intensiveren ze hun aanvallen. In het begin was het gemiddelde aantal gelijktijdige momenten op onze officiële website slechts enkele duizend, maar later steeg het naar gemiddeld 16.000 gelijktijdigheid, met een maximum van 70.000 gelijktijdigheid, zodat de CPU-monitoringfunctie hierboven ineffectief zou zijn, omdat de CPU na de w3wp.exe herstart in zeer korte tijd weer 100% bereikt.

    Het aantal gelijktijdige verbindingen dat op dat moment werd gemonitord:

    CPU-gebruik en verkeer (bandbreedtelimiet 10M):

    Gelukkig is de officiële domeinnaam van de website geregistreerd op Alibaba Cloud, en nadat we naar Alibaba Cloud migreren, zal het meeste abnormale verkeer worden opgeschoond met behulp van de DDOS-beschermingsfunctie van Cloud Shield, en zal de CPU onmiddellijk normaal zijn, en zal de officiële website met volledig bloed worden hersteld.

    Opmerking: de gratis DDoS-basisbeveiligingsdrempel van Alibaba Cloud is 5Gbps, en als het aanvalverkeer hoger is dan deze waarde, wordt het geblackholed en is de dienst niet toegankelijk.

    Hier zijn de parameters van de cloudserver: