Thực hành tốt nhất để phát hiện các cuộc tấn công DOS (từ chối dịch vụ)?

Question

Tôi đang tìm các phương pháp hay nhất để phát hiện và ngăn chặn DOS trong việc thực hiện dịch vụ (không phải giám sát mạng bên ngoài). Dịch vụ xử lý các truy vấn cho thông tin người dùng, nhóm và thuộc tính.

Nguồn thông tin yêu thích của bạn về cách xử lý DOS là gì?

Answer 1

Đây là một kỹ thuật tôi thấy rất hữu ích ..

Prevent Denial of Service (DOS) attacks in your web application

Answer 2

Dù bạn làm gì chống lại DoS-tấn công, nghĩ rằng nếu những gì bạn làm thực sự có thể làm tăng yêu cầu để xử lý yêu cầu độc hại hoặc không mong muốn tải!

Nếu bạn đang sử dụng Linux thì bạn nên đọc bài viết này:
Rule-based DoS attacks prevention shell script (từ Linux Gazette) Nó có các chủ đề sau:

• Làm thế nào để phát hiện các cuộc tấn công DoS từ /var/log/an toàn file
• Làm thế nào để giảm bớt dư thừa phát hiện IP từ các tập tin tạm thời
• Làm thế nào để kích hoạt/sbin/iptables
• thế nào để cài đặt tập lệnh shell được đề xuất

Áp dụng điều này mà không hạn chế đúng số lượng IP bị chặn trong iptables có thể giới thiệu DoS-Vulnerability bằng cách tăng các tài nguyên được yêu cầu để xử lý các yêu cầu không mong muốn. Để giảm rủi ro sử dụng ipset để khớp với Địa chỉ IP trong iptables.

Ngoài ra, hãy đọc khoảng ssh dictionary attack prevention using iptables. (cho phép iptables với tường lửa stateful như đề nghị ở đây không bảo vệ chống lại hầu hết các DoS-tấn công nhưng có thể thực sự dễ dàng DoS-tấn công gây ô nhiễm RAM của bạn với thông tin trạng thái vô dụng.)

Mới cho Linux? đọc số Windows-to-Linux roadmap: Part 5. Linux logging của IBM.

Chúc may mắn!

Answer 3

Nỗ lực đầu tiên của tôi để giải quyết lỗ hổng DoS đã sử dụng cách tiếp cận do Gulzar đề xuất, về cơ bản là giới hạn số lượng cuộc gọi được phép từ cùng một địa chỉ IP. Tôi nghĩ đó là một cách tiếp cận tốt, nhưng, thật không may, nó làm cho mã của tôi thất bại trong một bài kiểm tra hiệu năng.

Vì tôi không thể nhận nhóm thử nghiệm hiệu suất để thay đổi thử nghiệm của họ (một vấn đề chính trị, không phải là vấn đề kỹ thuật), tôi đã thay đổi giới hạn số lượng cuộc gọi được phép trong khoảng thời gian có thể định cấu hình. Tôi đã thực hiện cả số lượng cuộc gọi tối đa và khoảng thời gian có thể định cấu hình. Tôi cũng cho phép thiết lập một giá trị 0 hoặc một số âm mà vô hiệu hóa các giới hạn.

Mã cần được bảo vệ được một số sản phẩm sử dụng nội bộ. Vì vậy, tôi đã từng nhóm sản phẩm chạy bộ kiểm tra hiệu suất và kiểm tra hiệu suất của họ và đưa ra các giá trị mặc định càng nhỏ càng tốt để hạn chế tấn công DoS thực nhưng vẫn vượt qua tất cả các thử nghiệm.

FWIW, khoảng thời gian là 30 giây và số lượng cuộc gọi tối đa là 100. Đây không phải là cách tiếp cận hoàn toàn thỏa đáng, nhưng đơn giản và thiết thực và được nhóm bảo mật của công ty phê duyệt (một cân nhắc chính trị khác).