プロジェクトフォルダーを開く
書き出したアクセスログとサーバー設定のコピーを 1 つのフォルダーに置き、そのフォルダーを SmartCode Relay で開きます。
ワークフロー
Layer 7 DDoS：書き出したログからランブックまで
03
小さなショップサイトでのトラフィック急増
ショップのサイトが昨夜遅くなりました。なぜでしょう？ キャンペーンでも、レイヤー7の大量リクエストでも説明がつきます。手元には書き出したアクセスログとサーバー設定のコピーがあり、このガイドはそれを集計、レート制限の下書き、ランブックに変えていきます。
リクエストを集計する
エージェントにあなたのログ集計スクリプトを実行させ、アドレス別とパス別のリクエスト数を CSV ファイルに保存してもらいます。
レート制限を下書きする
設定のコピーを編集させ、diff を読み、そのコピーであなた自身のテストコマンドを実行します。
書いて確認する
ddos-runbook.txt を保存して 1 行ずつ読み、何かを適用する前に Plan only で残りの作業を一覧にします。
例：1 ページの対応ランブック
ログの集計と事業者のメモをもとに、ショップサイト用の ddos-runbook.txt を書いてください。
- read_file
exports/summary.csv読み取り済み - http_get
your provider's status page取得済み - write_file
ddos-runbook.txt保存済み - grep
^step ddos-runbook.txt6 件一致
次のステップの前にあなたの OK を待っています却下承認
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentプレーンテキストです。各手順はあなたまたは事業者が行う操作を示しており、攻撃用のコマンドは一つも含まれません。最後の 2 行は、ロールバックの方法と見直しの時期を示します。
さらに 2 つのワークフロー
自分の DDoS 監視用にしきい値を書く
しきい値は、すでに使っている監視システムのものであり、エージェントは数字を選ぶ手伝いをするだけです。アラートを自分で設定することはありません。read_file が通常の忙しい日のログ集計を開き、grep が重要なパスを探し、write_file が入力する値をまとめた短いメモファイルを保存します。ウェブサイトへの DDoS 攻撃への対応は、しきい値が必要になる夜より前に書き出してあるとうまくいきます。まず Plan only で手順の概要を読み、このモードは何も実行しません。それから Ask first に切り替えて、エージェントが集計を読み、write_file がメモを保存できるようにします。各数字を自分のアクセス解析と照らし合わせ、自分で入力し、最初のアラートは注意深く見守ってください。
多くのアドレスから、一つの忙しいアドレスを見分ける
分散した IP から届く DDoS の通信の影響緩和は、1 つのアドレスをブロックするだけでは成り立たないため、集計のアドレス別とパス別の件数を比べます。小さな送信元がたくさん集まれば大きくなります。レイヤー7の DDoS 攻撃対策はパス別の上限に頼ります。個々のリクエストはそれ自体は普通に見えるからです。Shell がパス別にまとめるよう、ログ集計スクリプトをもう一度実行し、grep が新しい集計から気になるパスを探します。DDoS 攻撃が止まず、サーバー側では止められないときは、いつ事業者に連絡するかがランブックに書かれています。集計は Ask first モードで確認し、新しい上限はどれもコピーでテストしてください。
