Припинення атаки DOS

Один із сайтів, з якими я працюю, нещодавно почав отримувати DoS'd. Він стартував з 30 к / с, а тепер - 50 к / хв. Практично захищені IP-адреси майже всі унікальні, не в одній підмережі, а є у багатьох країнах. Вони вимагають лише головну сторінку. Будь-які поради, як це зупинити?

Сервери працюють на Linux із Apache як веб-сервер.

Дякую

Ви не просто намагаєтесь протистояти DoS, ви намагаєтесь протистояти DDoS, який розповсюджується і набагато складніше боротися.

По суті, ви намагаєтесь виявити нелегітимний трафік та заблокувати їх. В ідеалі, ви хочете зняти нанівець цей трафік (ще краще попросіть своїх постачальників вище за поточним маршрутом прокласти його).

Перший порт виклику - ідентифікація. Вам потрібно знайти якийсь спосіб визначити трафік, який направляється вашому хосту. Невже це звичайний користувальницький агент, чи це факт, що вони насправді не використовують належний веб-переглядач ( Підказка: чи діють вони як належні браузери - тобто слідкують за переадресаціями 301), чи всі запити заливаються точно в той самий час або як багато запитів кожного IP-адреси потрапляє на ваш сервер за годину.

Ви не можете їх заблокувати, не визначивши їх, і вам потрібно знайти якийсь спосіб зробити це.

Ці інструменти для пом'якшення DDoS по суті роблять те саме, за винятком реального часу і коштують бомби. Половину часу є помилкові позитиви або DDoS настільки великий, що це все одно не має значення, тому будьте обережні, куди ви сюди вкладете свої гроші, якщо ви все-таки вирішите інвестувати в один з них зараз чи в майбутньому.

Запам’ятайте: 1. ІДЕНТИФІЯ 2. БЛОК . 1 - важка частина.

Ви припускаєте, що це навмисний DDoS. Перше, що потрібно спробувати, - це змінити IP-адресу. Якщо це насправді не навмисне, то воно зупиниться.

Звідки беруться ці запити, якщо це не навмисно? Це може бути випадковим чином, або це може бути помилковою ціллю. Навряд чи, але варто спробувати.

Ви впевнені, що не просто завантажуєте законний трафік? Можливо, ви були косою, або щось таке. Спробуйте подивитися реферерів у журналах.

Чи ваш маршрутизатор / балансир завантаження не має управління DOS-атакою? Наше це робить, і це робить світ різницею.

Ви можете попросити свого постачальника вище за течією попросити їхнього вище за течією. Скажімо, наприклад, що ви працюєте з веб-сайтом лише з Великобританії. Тоді ви можете перевірити, звідки трафік взагалі бере початок із використання якоїсь бази даних Whois. Скажімо, наприклад, що значна частина вашого небажаного трафіку трапляється з Росії, Китаю та / або Кореї. Тоді ви можете зателефонувати своєму постачальнику вище за течією та змусити їх зателефонувати, щоб вони тимчасово зводили ваші IP-адреси з цих областей, якщо вони мають маршрутизатори, близькі до джерел.

Це не довгострокове рішення, але це допомагає, якщо ваша база користувачів кластеризована в декількох географічних районах. У минулому Ive допомагав таким клієнтам, просто не оголошуючи їх передбачуваними однолітками, а лише національними. Це забрало частину їхнього бізнесу геть (користувачі, які виявили їх недосяжними, оскільки вони вже не доступні у всьому світі), але це набагато краще, ніж просто відмовитися від служби alltogeather.

Але наприкінці дня це більше відчайдушний вчинок. Але краще обрізати кінцівку, ніж ослабити тіло.

Якщо вам пощастило, постачальник постачальників вище за течією має обладнання та готовий допомогти вам відфільтрувати більшу частину небажаного трафіку.

Удачі :-)