[Tutorial bezpieczeństwa] Obrona IIS przed małoskalowymi atakami DDOS

W ostatnich dniach strona rejestracyjna oficjalnej strony internetowej firmy i systemu biznesowego była często atakowana przez DDOS, co skutkowało 100% wykorzystaniem CPU w puli aplikacji IIS oraz pojawianiem się błędów 503 podczas dostępu do strony. Poniżej znajduje się podsumowanie środków przeciwdziałania.

    1. Włącz funkcję monitorowania procesora w IIS

    To podejście można zastosować dla niskoczęstotliwościowych DDOS. w3wp.exe jest powiązany proces puli aplikacji, a gdy ruch WEB jest wysoki, w3wp.exe pochłania dużo zasobów systemowych. W przypadku ataków DDOS oczywistym zjawiskiem jest to, że w3wp.exe zajmuje 100% CPU, a strona jest pozbawiona dostępu, co utrudnia zdalne logowanie się na serwerze. W tej sytuacji stosuje się następujące optymalizacje:

    1. Utworzenie osobnej puli aplikacji dla każdej strony internetowej w IIS.

    2. Ustaw funkcję monitorowania CPU dla każdej puli aplikacji: Gdy CPU w3wp.exe przekroczy 50% lub więcej, proces w3wp.exe automatycznie wyłączy, a częstotliwość monitorowania wynosi 1 minutę. Za każdym razem, gdy pojawia się żądanie dostępu, w3wp.exe restartuje się bez wpływu na dostęp użytkownika.

2. Czyszczenie przepływowe

    Gdy hakerzy odkrywają, że niskopoziomowe DDOS przestają działać, nasilają swoje ataki. Na początku średnia liczba współbieżności na naszej oficjalnej stronie wynosiła zaledwie kilka tysięcy, ale później wzrosła do średnio 16 000, z maksymalną liczbą 70 000, przez co funkcja monitorowania CPU powyżej byłaby nieskuteczna, ponieważ po w3wp.exe restarcie CPU ponownie osiągnie 100% w bardzo krótkim czasie.

    Liczba monitorowanych łączeń równocześnie w tym czasie:

    Wykorzystanie CPU i ruch (limit przepustowości 10M):

    Na szczęście oficjalna domena strony jest zarejestrowana na Alibaba Cloud, a po migracji do Alibaba Cloud większość nieprawidłowego ruchu zostanie usunięta za pomocą funkcji ochrony przeciwników przeciwników w Cloud Shield, a procesor natychmiast wróci do normy, a oficjalna strona zostanie przywrócona z pełną krwią.

    Uwaga: Podstawowy próg ochrony przeciwnikaka DDoS w Alibaba Cloud wynosi 5Gbps, a jeśli ruch ataku jest wyższy niż ta wartość, zostanie on zablokowany i usługa nie będzie dostępna.

    Oto parametry serwera chmurowego: