[Урок з безпеки] Захист IIS від маломасштабних DDOS-атак

Останніми днями сторінка реєстрації офіційного сайту та бізнес-системи компанії часто зазнавала атак DDOS, що призвело до 100% завантаження пулу додатків IIS CPU та 503 помилок при доступі до сайту. Нижче наведено короткий огляд контрзаходів.

    1. Увімкніть функцію моніторингу процесора в IIS

    Цей підхід можна застосовувати для низькочастотного DDOS. w3wp.exe є пов'язаним процесом пулу додатків, і коли WEB трафік високий, w3wp.exe забирає багато системних ресурсів. Під час DDOS-атак очевидним явищем є те, що w3wp.exe займає 100% процесора, а вебсайту відмовляють у доступі, що ускладнює віддалений ухід на сервер. У такій ситуації застосовуються такі оптимізації:

    1. Створіть окремий пул додатків для кожного вебсайту в IIS.

    2. Встановіть функцію моніторингу процесора для кожного пулу додатків: Коли потужність процесора w3wp.exe перевищує 50% або більше, процес автоматично зу w3wp.exe пиняється, а частота моніторингу становить 1 хвилину. Щоразу, коли надходить запит на доступ, w3wp.exe перезапускається, не впливаючи на доступ користувача.

2. Очищення потоку

    Коли хакери виявляють, що низькорівневий DDOS більше не працює, вони посилюють атаки. Спочатку середня кількість спільних процесів на нашому офіційному сайті становила лише кілька тисяч, але згодом вона зросла до 16 000, з максимальною кількістю 70 000, тому функція моніторингу процесора, описана вище, була неефективною, бо після перезавантаження w3wp.exe процесор знову досягне 100% за дуже короткий час.

    Кількість одночасних з'єднань, що відстежувалися на той час:

    Використання процесора та трафік (ліміт пропускної здатності 10M):

    На щастя, офіційне доменне ім'я сайту зареєстроване на Alibaba Cloud, і після міграції на Alibaba Cloud більшість ненормального трафіку буде очищено за допомогою функції захисту від DDOS у Cloud Shield, і процесор одразу стане нормальним, а офіційний сайт буде відновлений повним джерелом.

    Примітка: базовий поріг захисту від DDoS безкоштовного Alibaba Cloud становить 5 Гбіт/с, і якщо трафік атаки перевищує це значення, він буде заблокований, і сервіс стане недоступним.

    Ось параметри хмарного сервера: