停止DOS攻击

9

与我合作的网站之一最近开始获得DoS服务。它最初以30k RPS开始，现在是50k / min。IP几乎都是唯一的，不在同一子网中，并且在多个国家/地区。他们只请求主页。关于如何阻止这种情况的任何提示？

这些服务器在Linux上以Apache为Web服务器运行。

谢谢

security ddos denial-of-service

— 威廉
source

什么样的交通？您是否确定了哪种DDoS？即，它是在消耗带宽还是在消耗系统资源？

— 乔什·布劳

这是一个很好的问题，但显然没有真正的答案。哇，我从来不知道DoS砖墙这么厚。

— Xeoncross 2010年

4

您不仅要承受DoS，还要承受DDoS，它是分布式的，很难处理。

本质上，您正在尝试识别非法流量并加以阻止。理想情况下，您希望将此路由为空路由（甚至最好让上游提供程序将其空路由。）

呼叫的第一个端口是标识。您需要找到某种方法来识别发送到主机的流量。无论是普通的用户代理，是否是他们实际上没有使用适当的浏览器（提示：它们的行为是否像适当的浏览器一样，即遵循301重定向），是否所有请求都在同一时间泛滥成灾？每个IP每小时有许多请求到达您的服务器。

您不能在不识别它们的情况下阻止它们，而您需要找到某种方法。

那些DDoS缓解工具除了实时性和炸弹成本外，基本上都做同样的事情。一半时间会出现误报，或者DDoS如此之大，无论如何都没有关系，因此，如果您决定现在或将来投资其中一种资金，请多加注意。

请记住：1.确定2.阻止。1是困难的部分。

— 菲利普·雷诺兹
source

1

问题不是阻塞，而是确定。如果无法识别，则无法阻止。到目前为止，我们还没有看到任何模式。真正的浏览器，在请求时间内没有模式，完全不同的国家，没有引荐来源，它们遵循重定向，它们接受cookie。他们的行为就像普通用户一样。这看起来几乎是无法分辨的。我们正在考虑将所有流量路由到Amazon，让Amazon处理将要缓存的主页的所有请求，以及目前由我们的Web应用程序处理的所有其他页面。谢谢你的回答。

— 威廉

较小的更正：它们可能不是真正的浏览器，在进行识别时请记住这一点。另外，您的用户群是什么样的？如果这一切都是以美国为中心，那么您可能想阻止离岸需求作为权宜之计，以便为您提供一些喘息的机会……

— pboin

从某种意义上说，它们不是在使用Firefox，Chrome等来满足他们的请求，它们并不是“真正的”浏览器。您会注意到的一件事是，我说这些是独特的IP，它以RPS的高位运行数小时。这个“人”显然拥有一个巨大的僵尸网络，即使我们的数据中心（ThePlanet）也无法找到阻止它的方法。判断它是否是浏览器不是很容易。如果它遵循重定向，存储cookie等，您如何知道？除了您需要记住某些内容外，每个请求都是唯一的。因此，禁止IP毫无意义。这些请求在我们的服务器上之前必须被阻止。

— 威廉

非浏览器或基于文本的浏览器不倾向于运行javascript？他们还提供什么用户代理标头？

— 菲利普·雷诺兹

1

您假设这是故意的DDoS。首先尝试更改IP地址。如果实际上不是故意的，那么它将停止。

如果不是故意的，这些请求将来自何处？它可能是随机的，也可能是错误的目标。不太可能，但值得一试。

您确定不只是获得合法流量的负载？也许您已经被鞭打了，或者其他。尝试查看日志中的引荐来源网址。

— 蔡斯·塞伯特
source

0

您的前端路由器/负载均衡器是否没有DOS攻击管理？我们做到了，这让世界变得与众不同。

— 斩波器3
source

问题是，所有ip都是唯一的，来自不同的国家等。实际上，没有办法从合法用户那里告诉攻击者。现在我们所有的带宽都被消耗eat尽，我们无能为力。

— 威廉

但是DOS管理路由器和负载平衡器不在乎流量来自何处，如果他们看到来自某些IP的许多与DOS相关的特定类型的流量，那么他们会忽略它并继续进行工作，无论如何，服务器都可以服务器和客户流量得到正确处理。像Cisco和Foundry这样的人从他们在这一领域的工作中赚了很多钱，您所看到的与众不同。

— Chopper3

0

您可以要求您的上游提供商向他们的上游寻求帮助。例如，假设您仅与英国用户一起运行网站。然后，您可以使用某些whois数据库来检查一般流量的来源。举例来说，您的大量不必要的流量恰好来自俄罗斯，中国和/或韩国。然后，您可以呼叫上游提供商，并让他们打电话给他们，以使它们暂时从这些区域对您的IP地址进行空路由，前提是它们的路由器靠近源。

这不是一个长期的解决方案，但是如果您的用户群聚集在几个地理区域中，它将很有帮助。过去，Ive曾帮助过这样的客户，只是没有将他们宣布为同行，而是全国性的。这确实夺走了他们的部分业务（用户发现它们无法访问，因为它们不再在国际上可用），但是它比仅仅停止服务变得更加出色。

但归根结底，这更是一种绝望的举动。但是，切断肢体比放松身体更好。

如果您幸运的话，您的上游提供商将拥有设备，并愿意帮助您过滤掉大部分不需要的流量。

祝好运：-）

— 符文尼尔森
source