[Bezpečnostný návod] Obrana IIS proti inštanciám malých DDOS útokov

V posledných dňoch bola registračná stránka oficiálnej webovej stránky spoločnosti a obchodného systému často napádaná DDOS, čo viedlo k 100% využitiu CPU v aplikačnom poole IIS a chybám 503 pri prístupe na webovú stránku. Nasleduje zhrnutie protiopatrení.

    1. Povoliť funkciu monitorovania CPU v IIS

    Tento prístup možno použiť aj pre nízkofrekvenčné DDOS. w3wp.exe je pridružený proces aplikačného poolu a keď je WEB prevádzka vysoká, w3wp.exe zaberá veľa systémových zdrojov. Pri DDOS útokoch je zrejmým javom, že w3wp.exe zaberá 100 % CPU a webová stránka je odmietnutá v prístupe, čo sťažuje vzdialené prihlásenie na server. Pre túto situáciu sa vykonávajú nasledujúce optimalizácie:

    1. Vytvoriť samostatný súbor aplikácií pre každú webovú stránku v IIS.

    2. Nastaviť funkciu monitorovania CPU pre každý aplikačný pool: Keď CPU w3wp.exe prekročí 50 % alebo viac, proces w3wp.exe sa automaticky ukončí a frekvencia monitorovania je 1 minúta. Kedykoľvek príde žiadosť o prístup, w3wp.exe sa reštartuje bez ovplyvnenia prístupu používateľa.

2. Čistenie prietokom

    Keď hackeri zistia, že nízkoúrovňové DDOS už nefunguje, zosilnia svoje útoky. Na začiatku bol priemerný počet súbežnosti na našej oficiálnej webovej stránke len niekoľko tisíc, neskôr sa však zvýšil na priemer 16 000 súbežnosti, s maximom 70 000 súbežnosti, takže vyššie uvedená funkcia monitorovania CPU bola neúčinná, pretože po reštarte w3wp.exe CPU opäť dosiahne 100 % v veľmi krátkom čase.

    Počet monitorovaných súbežných spojení v tom čase:

    Využitie CPU a prevádzka (limit šírky pásma 10M):

    Našťastie oficiálna doména webovej stránky je zaregistrovaná na Alibaba Cloud a po migrácii na Alibaba Cloud sa väčšina abnormálnej prevádzky vyčistí pomocou funkcie ochrany proti DDOS v Cloud Shield, CPU bude okamžite normálny a oficiálna stránka bude oživená s plnou krvou.

    Poznámka: Základný prah ochrany pre bezplatné DDoS v Alibaba Cloud je 5Gbps, a ak je útočná prevádzka vyššia ako táto hodnota, bude zablokovaná a služba nebude prístupná.

    Tu sú parametre cloudového servera: