[Tutorial de siguranță] Apărarea IIS împotriva instanțelor de atac DDOS la scară mică

În ultimele zile, pagina de înregistrare a site-ului oficial al companiei și a sistemului de afaceri a fost frecvent atacată de DDOS, rezultând o utilizare de 100% a pool-ului de aplicații IIS și 503 erori la accesarea site-ului. Următorul este un rezumat al contramăsurilor.

    1. Activarea funcției de monitorizare CPU a IIS

    Această abordare poate fi adoptată pentru DDOS de frecvență joasă. w3wp.exe este un proces asociat cu pool-ul de aplicații, iar când traficul WEB este mare, w3wp.exe va consuma multe resurse de sistem. În cazul atacurilor DDOS, fenomenul evident este că w3wp.exe ocupă 100% din CPU, iar site-ul este refuzat de acces, ceea ce face dificilă autentificarea de la distanță pe server. Pentru această situație, se fac următoarele optimizări:

    1. Configurarea unui pool separat de aplicații pentru fiecare site web în IIS.

    2. Setează funcția de monitorizare a CPU-ului pentru fiecare pool de aplicații: Când CPU-ul w3wp.exe depasează 50% sau mai mult, procesul w3wp.exe se va opri automat, iar frecvența de monitorizare este de 1 minut. Ori de câte ori vine o cerere de acces, w3wp.exe repornește fără a afecta accesul utilizatorului.

2. Curățarea prin flux

    Când hackerii descoperă că DDOS-ul de nivel scăzut nu mai funcționează, își intensifică atacurile. La început, numărul mediu de concurență pe site-ul nostru oficial era doar de câteva mii, dar ulterior a crescut la o porțiune medie de 16.000, cu un maxim de 70.000 concurență, astfel încât funcția de monitorizare a CPU-ului de mai sus ar fi ineficientă, deoarece după repornirea w3wp.exe, CPU-ul va ajunge din nou la 100% într-un interval foarte scurt de timp.

    Numărul de conexiuni concurente monitorizate la acel moment:

    Utilizarea procesorului și traficul (limită lățime de bandă 10M):

    Din fericire, numele de domeniu oficial al site-ului este înregistrat pe Alibaba Cloud, iar după migrarea în Alibaba Cloud, majoritatea traficului anormal va fi curățat folosind funcția de protecție DDOS a Cloud Shield, iar CPU-ul va fi imediat normal, iar site-ul oficial va fi reînviat cu sânge complet.

    Notă: Pragul de protecție DDoS gratuit al Alibaba Cloud este de 5Gbps, iar dacă traficul de atac este mai mare decât această valoare, acesta va fi blocat și serviciul nu va mai fi accesibil.

    Iată parametrii serverului cloud: