[Güvenlik Eğitimi] IIS Savunması Küçük Ölçekli DDOS Saldırı Örneklerine Karşı

Son günlerde, şirketin resmi web sitesi ve iş sisteminin kayıt sayfası DDOS tarafından sıkça saldırıya uğradı; bu da IIS uygulama havuzunun %100 CPU kullanımına ve siteye erişimde 503 hatasına yol açtı. Aşağıda karşı önlemlerin özeti yer almaktadır.

    1. IIS'nin CPU izleme fonksiyonunu etkinleştirin

    Bu yaklaşım düşük frekanslı DDOS için de uygulanabilir. w3wp.exe, uygulama havuzunun ilişkili bir sürecidir ve WEB trafiği yüksek olduğunda w3wp.exe çok fazla sistem kaynağı kullanır. DDOS saldırıları altında, bariz olan bir durum şu ki, w3wp.exe CPU'nun %100'ünü kaplıyor ve web sitesine erişim engelleniyor, bu da sunucuya uzaktan giriş yapmayı zorlaştırıyor. Bu durum için aşağıdaki optimizasyonlar yapılır:

    1. IIS'deki her web sitesi için ayrı bir başvuru havuzu oluşturun.

    2. Her uygulama havuzu için CPU izleme fonksiyonunu ayarlayın: w3wp.exe CPU'su %50 veya daha fazla olduğunda, otomatik olarak w3wp.exe süreci öldürür ve izleme sıklığı 1 dakikadır. Bir erişim talebi geldiğinde, w3wp.exe kullanıcı erişimini etkilemeden yeniden başlatılır.

2. Akış temizliği

    Hackerlar düşük seviyeli DDOS'un artık çalışmadığını fark ettiklerinde saldırılarını yoğunlaştırıyorlar. Başlangıçta, resmi web sitemizdeki ortalama eşzamanlılık sayısı sadece birkaç bindi, ancak daha sonra ortalama 16.000 eşzamanlı olarak yükseldi, maksimum 70.000 eşzamanlı oldu, böylece yukarıdaki CPU izleme fonksiyonu etkisiz kalacaktı, çünkü w3wp.exe yeniden başlatmadan sonra CPU çok kısa sürede tekrar %100'e ulaşacaktı.

    O dönemde izlenen eşzamanlı bağlantı sayısı:

    CPU kullanımı ve trafik (bant genişliği sınırı 10M):

    Neyse ki, resmi web sitesi alan adı Alibaba Cloud'da kaydediliyor ve Alibaba Cloud'a geçtikten sonra, anormal trafiğin çoğu Cloud Shield'ın DDOS koruma fonksiyonuyla temizlenecek, CPU hemen normal olacak ve resmi web sitesi tam donanımla yeniden canlandırılacak.

    Not: Alibaba Cloud'un ücretsiz DDoS temel koruma eşiği 5Gbps'dir ve saldırı trafiği bu değerden yüksekse, kara delik olur ve hizmet erişilmez.

    İşte bulut sunucusunun parametreleri: