[Tutorial de Segurança] Defesa IIS contra Instâncias de Ataque DDOS em Pequena Escala

Nos últimos dias, a página de registro do site oficial e do sistema empresarial da empresa tem sido frequentemente atacada por DDOS, resultando em uso total de CPU do pool de aplicações IIS e 503 erros ao acessar o site. A seguir está um resumo das contramedidas.

    1. Habilitar a função de monitoramento da CPU do IIS

    Essa abordagem pode ser adotada para DDOS de baixa frequência. w3wp.exe é um processo associado ao pool de aplicações e, quando o tráfego WEB é alto, w3wp.exe ocupa muitos recursos do sistema. Sob ataques DDOS, o fenômeno óbvio é que o w3wp.exe ocupa 100% da CPU, e o site é negado o acesso, dificultando o login remoto no servidor. Para essa situação, são feitas as seguintes otimizações:

    1. Configure um pool de aplicações separado para cada site no IIS.

    2. Definir a função de monitoramento da CPU para cada pool de aplicações: Quando a CPU da w3wp.exe ultrapassar 50% ou mais, ela automaticamente encerra w3wp.exe processo, e a frequência de monitoramento é de 1 minuto. Sempre que uma solicitação de acesso chega, w3wp.exe reinicia sem afetar o acesso do usuário.

2. Limpeza de fluxo

    Quando os hackers percebem que o DDOS de baixo nível não está mais funcionando, intensificam seus ataques intensos. No início, a média de concorrência em nosso site oficial era de apenas alguns milhares, mas depois aumentou para uma média de 16.000 concorrências, com um máximo de 70.000 concorrências, de modo que a função de monitoramento da CPU acima seria ineficaz, pois após a reinicialização w3wp.exe, a CPU voltará a atingir 100% em um período muito curto.

    O número de conexões concorrentes monitoradas naquele momento:

    Uso e tráfego da CPU (limite de largura de banda 10M):

    Felizmente, o domínio oficial do site está registrado no Alibaba Cloud, e depois que migrarmos para o Alibaba Cloud, a maior parte do tráfego anormal será eliminada usando a função de proteção DDOS do Cloud Shield, e o processador ficará imediatamente normal, e o site oficial será ressuscitado com todo o sangue.

    Nota: O limiar básico de proteção DDoS gratuita do Alibaba Cloud é de 5Gbps, e se o tráfego de ataque for maior que esse valor, ele será bloqueado e o serviço não estará acessível.

    Aqui estão os parâmetros do servidor na nuvem: