[Урок по безопасности] Защита IIS от маломасштабных DDOS-атак

В последние дни страница регистрации официального сайта и бизнес-системы компании часто подвергается атакам DDOS, что приводит к 100% загрузке пула приложений IIS процессором и 503 ошибкам при доступе к сайту. Ниже приведено краткое изложение контрмер.

    1. Включить функцию мониторинга процессора в IIS

    Такой подход можно применить для низкочастотных DDOS. w3wp.exe — это связанный процесс пула приложений, и когда WEB трафик высок, w3wp.exe занимает много системных ресурсов. При DDo-атаках очевидным явлением является то, что w3wp.exe занимает 100% процессора, а доступ к сайту запрещается, что затрудняет удалённый вход на сервер. В этой ситуации выполняются следующие оптимизации:

    1. Создать отдельный пул приложений для каждого сайта в IIS.

    2. Задайте функцию мониторинга процессора для каждого пула приложений: Когда процессор w3wp.exe превышает 50% и выше, процесс автомат w3wp.exe ически останавливается, а частота мониторинга составляет 1 минуту. Каждый раз, когда поступает запрос на доступ, w3wp.exe перезагружается, не затрагивая доступ пользователя.

2. Очистка потока

    Когда хакеры обнаруживают, что низкоуровневый DDOS больше не работает, они усиливают атаки. Изначально среднее количество параллелизма на нашем официальном сайте составляло всего несколько тысяч, но позже оно выросло до среднего до 16 000 совместностей, максимум — 70 000, так что функция мониторинга процессора выше была бы неэффективной, потому что после перезагрузки w3wp.exe процессор снова достигнет 100% за очень короткое время.

    Количество одновременных соединений, отслеживаемых в то время:

    Использование процессора и трафик (ограничение пропускной способности 10M):

    К счастью, официальное доменное имя сайта зарегистрировано на Alibaba Cloud, и после миграции на Alibaba Cloud большая часть ненормального трафика будет очищена с помощью функции защиты от DDOS в Cloud Shield, процессор сразу же станет нормальным, а официальный сайт будет полностью восстановлен.

    Примечание: базовый порог защиты от DDoS от бесплатного Alibaba Cloud составляет 5 Гбит/с, и если трафик атаки превышает это значение, он будет заблокирован, и сервис станет недоступен.

    Вот параметры облачного сервера: