[Säkerhetshandledning] IIS-försvar mot småskaliga DDOS-attackinstanser

Under de senaste dagarna har registreringssidan för företagets officiella webbplats och affärssystem ofta attackerats av DDOS, vilket resulterat i 100 % CPU-användning av IIS-applikationspoolen och 503 fel vid åtkomst till webbplatsen. Följande är en sammanfattning av motåtgärderna.

    1. Aktivera CPU-övervakningsfunktionen i IIS

    Denna metod kan användas för lågfrekvent DDOS. w3wp.exe är en associerad process i applikationspoolen, och när WEB-trafiken är hög kommer w3wp.exe att ta upp mycket systemresurser. Vid DDOS-attacker är det uppenbara fenomenet att w3wp.exe upptar 100 % av CPU:n, och webbplatsen nekas åtkomst, vilket gör det svårt att logga in på servern på distans. För denna situation görs följande optimeringar:

    1. Skapa en separat applikationspool för varje webbplats i IIS.

    2. Ställ in CPU-övervakningsfunktionen för varje applikationspool: När CPU:n i w3wp.exe överstiger 50 % eller mer, stängs w3wp.exe process automatiskt och övervakningsfrekvensen är 1 minut. När en åtkomstförfrågan kommer in startar w3wp.exe om utan att påverka användaråtkomsten.

2. Flödesrengöring

    När hackare upptäcker att lågnivå-DDOS inte längre fungerar, intensifierar de sina attacker. I början var det genomsnittliga antalet samtidigheter på vår officiella webbplats bara några tusen, men senare ökade det till ett genomsnitt på 16 000 samtidighet, med ett maximum på 70 000 samtidighet, så att CPU-övervakningsfunktionen ovan skulle vara ineffektiv eftersom CPU:n efter omstarten efter w3wp.exe omstart kommer att nå 100 % igen på mycket kort tid.

    Antalet samtidiga anslutningar som övervakades vid den tiden:

    CPU-användning och trafik (bandbreddsgräns 10M):

    Som tur är är domännamnet på den officiella webbplatsen registrerat på Alibaba Cloud, och efter att vi migrerat till Alibaba Cloud kommer det mesta av den onormala trafiken att rensas bort med hjälp av DDOS-skyddsfunktionen i Cloud Shield, och CPU:n kommer omedelbart att vara normal, och den officiella webbplatsen kommer att återupplivas med full blod.

    Notera: Alibaba Clouds gratis DDoS-grundläggande skyddströskel är 5 Gbps, och om attacktrafiken är högre än detta värde kommer den att vara blackhole och tjänsten kommer inte att vara tillgänglig.

    Här är parametrarna för molnservern: