Apri la cartella del progetto
Metti il log di accesso esportato e una copia delle impostazioni del server in un’unica cartella, poi apri quella cartella in SmartCode Relay.
Flussi di lavoro
Layer 7 DDoS protection: dal log esportato al runbook
03
Un picco di traffico sul sito di un piccolo negozio
Il sito del tuo negozio è rallentato la scorsa notte. Perché? Sia una campagna sia un flood di livello 7 potrebbero spiegarlo. Hai un log di accesso esportato e una copia delle impostazioni del server, e questa guida li trasforma in un riepilogo, una bozza di rate limit e un runbook.
Riassumi le richieste
Chiedi all’agente di eseguire il tuo script di riepilogo dei log e di salvare le richieste per indirizzo e per percorso in un file CSV.
Prepara il rate limit
Lascia che modifichi la copia delle tue impostazioni, leggi il diff ed esegui il tuo comando di test su quella copia.
Scrivi e controlla
Salva ddos-runbook.txt, leggilo riga per riga e usa Plan only per elencare cosa resta da fare prima di applicare qualsiasi cosa.
Esempio: un runbook di risposta di una pagina
Scrivi ddos-runbook.txt per il sito del negozio a partire dal riepilogo del log e dalle note del provider.
- read_file
exports/summary.csvletto - http_get
your provider's status pagerecuperato - write_file
ddos-runbook.txtsalvato - grep
^step ddos-runbook.txt6 corrispondenze
In attesa del tuo OK prima del passo successivoRifiutaAccetta
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentÈ testo semplice. Ogni passo indica un’azione per te o per il tuo provider, nessuno contiene un comando di attacco, e le ultime due righe dicono come tornare indietro e quando rivedere.
Altri due flussi di lavoro
Scrivi le soglie per il tuo monitoraggio DDoS
Le soglie appartengono al sistema di monitoraggio che già usi, e l’agente ti aiuta solo a scegliere i numeri. Non imposta alcun avviso da sé. read_file apre il riepilogo del log di una giornata normale e piena di attività, grep vi cerca i percorsi che contano, e write_file salva un breve file di note con i valori da inserire. Affrontare un attacco DDoS a un sito web riesce meglio quando le soglie sono state scritte prima della notte in cui servono. Usa prima Plan only per leggere la bozza dei passi, dato che quella modalità non esegue nulla, poi passa a Ask first perché l’agente possa leggere il riepilogo e write_file salvare le note. Verifica ogni numero con i tuoi analytics, inseriscilo tu stesso e osserva con attenzione il primo avviso.
Distingui un indirizzo molto attivo da molti indirizzi
La mitigazione del traffico DDoS da IP distribuiti non può basarsi sul blocco di un solo indirizzo, quindi confronta i conteggi per indirizzo e per percorso del tuo riepilogo. Tanti piccoli mittenti si sommano. La protezione DDoS di livello 7 si appoggia a limiti per percorso, perché ogni richiesta presa da sola sembra normale. Shell esegue di nuovo il tuo script di riepilogo dei log in modo che raggruppi per percorso, e grep cerca nel nuovo riepilogo i percorsi che ti interessano. Quando gli attacchi DDoS sembrano incessanti e non riesci a fermarli sul server, il runbook dice quando chiamare il provider. Rivedi il riepilogo in modalità Ask first e testa ogni nuovo limite su una copia.
