Abre la carpeta del proyecto
Pon el log de acceso exportado y una copia de los ajustes de tu servidor en una misma carpeta, y abre esa carpeta en SmartCode Relay.
Flujos de trabajo
Layer 7 DDoS protection: del log exportado al runbook
03
Un pico de tráfico en el sitio de una tienda pequeña
El sitio de tu tienda fue lento anoche. ¿Por qué? Tanto una campaña como una inundación de capa 7 podrían explicarlo. Tienes un log de acceso exportado y una copia de los ajustes de tu servidor, y esta guía los convierte en un resumen, un borrador de límite de tasa y un runbook.
Resume las peticiones
Pide al agente que ejecute tu script de resumen de logs y guarde las peticiones por dirección y por ruta en un archivo CSV.
Redacta el límite de tasa
Deja que edite la copia de tus ajustes, lee el diff y ejecuta tu propio comando de prueba sobre esa copia.
Escribe y comprueba
Guarda ddos-runbook.txt, léelo línea por línea y usa Plan only para listar lo que falta antes de aplicar nada.
Ejemplo: un runbook de respuesta de una página
Escribe ddos-runbook.txt para el sitio de la tienda a partir del resumen del log y las notas del proveedor.
- read_file
exports/summary.csvleído - http_get
your provider's status pageobtenido - write_file
ddos-runbook.txtguardado - grep
^step ddos-runbook.txt6 coincidencias
Esperando tu OK antes del siguiente pasoRechazarAceptar
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentEs texto plano. Cada paso nombra una acción para ti o para tu proveedor, ninguno contiene un comando de ataque, y las dos últimas líneas dicen cómo deshacer y cuándo revisar.
Dos flujos más
Escribe umbrales para tu propio monitoreo de DDoS
Los umbrales pertenecen al sistema de monitoreo que ya usas, y el agente solo te ayuda a elegir los números. No configura alertas por sí mismo. read_file abre el resumen del log de un día normal con mucha actividad, grep busca en él las rutas que importan, y write_file guarda un archivo de notas breve con los valores que debes introducir. Afrontar un ataque DDoS a un sitio web sale mejor cuando los umbrales se escribieron antes de la noche en que hacen falta. Usa primero Plan only para leer el esquema de los pasos, ya que ese modo no ejecuta nada, y luego cambia a Ask first para que el agente lea el resumen y write_file guarde las notas. Contrasta cada número con tu propia analítica, introdúcelo tú mismo y observa con cuidado la primera alerta.
Separa una dirección ocupada de muchas
La mitigación de tráfico DDoS desde IPs distribuidas no puede basarse en bloquear una sola dirección, así que compara los conteos por dirección y por ruta de tu resumen. Muchos remitentes pequeños suman. La protección DDoS de capa 7 se apoya en límites por ruta, porque cada petición parece normal por sí sola. Shell vuelve a ejecutar tu script de resumen de logs para que agrupe por ruta, y grep busca en el nuevo resumen las rutas que te importan. Cuando los ataques DDoS parecen implacables y no puedes pararlos en el servidor, el runbook dice cuándo llamar al proveedor. Revisa el resumen en modo Ask first y prueba cualquier límite nuevo en una copia.
