Otevři složku projektu
Dej exportovaný přístupový log a kopii nastavení serveru do jedné složky a tu složku otevři v SmartCode Relay.
Postupy
Layer 7 DDoS protection: od exportovaného logu k runbooku
03
Špička provozu na webu malého e-shopu
Web tvého e-shopu zpomalil minulou noc. Proč? Mohla za to kampaň, ale stejně dobře záplava na vrstvě 7. Máš exportovaný přístupový log a kopii nastavení serveru a tento návod z nich udělá souhrn, návrh limitu požadavků a runbook.
Shrň požadavky
Požádej agenta, aby spustil tvůj skript pro souhrn logů a uložil požadavky podle adresy a podle cesty do souboru CSV.
Navrhni limit požadavků
Nech ho upravit kopii tvého nastavení, přečti si diff a spusť vlastní testovací příkaz na této kopii.
Napiš a zkontroluj
Ulož ddos-runbook.txt, přečti ho řádek po řádku a pomocí Plan only vypiš, co zbývá, než cokoli použiješ.
Příklad: jednostránkový runbook pro reakci
Napiš ddos-runbook.txt pro web e-shopu ze souhrnu logu a poznámek poskytovatele.
- read_file
exports/summary.csvpřečteno - http_get
your provider's status pagestaženo - write_file
ddos-runbook.txtuloženo - grep
^step ddos-runbook.txt6 shod
Čekám na tvé OK před dalším krokemZamítnoutPřijmout
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentJe to prostý text. Každý krok uvádí akci pro tebe nebo tvého poskytovatele, žádný neobsahuje útočný příkaz a poslední dva řádky říkají, jak se vrátit zpět a kdy provést revizi.
Další dva postupy
Napiš prahové hodnoty pro vlastní monitoring DDoS
Prahové hodnoty patří do monitorovacího systému, který už provozuješ, a agent ti jen pomáhá vybrat čísla. Sám žádné výstrahy nenastavuje. read_file otevře souhrn logu z normálního rušného dne, grep v něm hledá důležité cesty a write_file uloží krátký soubor poznámek s hodnotami k zadání. Řešení útoku DDoS na web jde lépe, když byly prahové hodnoty sepsány před nocí, kdy se budou hodit. Nejdřív použij Plan only, abys přečetl osnovu kroků, protože tento režim nic nespouští, a pak přepni na Ask first, aby agent mohl přečíst souhrn a write_file uložit poznámky. Každé číslo ověř podle vlastní analytiky, zadej ho sám a první výstrahu pozorně sleduj.
Odliš jednu vytíženou adresu od mnoha
Zmírňování provozu DDoS z rozprostřených IP adres se nemůže opírat o blokování jedné adresy, proto porovnej počty podle adresy a podle cesty ve svém souhrnu. Mnoho malých odesílatelů se sčítá. Layer 7 DDoS protection se opírá o limity na cestu, protože každý požadavek sám o sobě vypadá normálně. Shell znovu spustí tvůj skript pro souhrn logů, aby seskupoval podle cesty, a grep v novém souhrnu hledá cesty, které tě zajímají. Když se útoky DDoS zdají neústupné a na serveru je nezastavíš, runbook říká, kdy zavolat poskytovateli. Souhrn zkontroluj v režimu Ask first a každý nový limit otestuj na kopii.
