Open de projectmap
Zet het geëxporteerde toegangslog en een kopie van je serverinstellingen in één map en open die map in SmartCode Relay.
Werkwijzen
Layer 7 DDoS protection: van geëxporteerd log naar runbook
03
Een verkeerspiek op de site van een kleine webshop
De site van je webshop was vannacht traag. Waarom? Zowel een campagne als een laag-7-vloed kan het verklaren. Je hebt een geëxporteerd toegangslog en een kopie van je serverinstellingen, en deze handleiding maakt er een samenvatting, een concept voor een rate limit en een runbook van.
Vat de verzoeken samen
Vraag de agent je script voor logsamenvattingen te draaien en de verzoeken per adres en per pad in een CSV-bestand op te slaan.
Maak het concept voor de rate limit
Laat hem de kopie van je instellingen bewerken, lees de diff en draai je eigen testcommando op die kopie.
Schrijf en controleer
Sla ddos-runbook.txt op, lees het regel voor regel en gebruik Plan only om op te sommen wat er nog openstaat voordat je iets toepast.
Voorbeeld: een responsrunbook van één pagina
Schrijf ddos-runbook.txt voor de webshopsite op basis van de logsamenvatting en de notities van de provider.
- read_file
exports/summary.csvgelezen - http_get
your provider's status pageopgehaald - write_file
ddos-runbook.txtopgeslagen - grep
^step ddos-runbook.txt6 treffers
Wacht op jouw OK voor de volgende stapAfwijzenAccepteren
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentHet is platte tekst. Elke stap noemt een actie voor jou of je provider, geen enkele bevat een aanvalscommando, en de laatste twee regels zeggen hoe je terugdraait en wanneer je evalueert.
Nog twee werkwijzen
Schrijf drempelwaarden voor je eigen DDoS-monitoring
Drempelwaarden horen in het monitoringsysteem dat je al draait, en de agent helpt je alleen de getallen te kiezen. Hij stelt zelf geen meldingen in. read_file opent de logsamenvatting van een gewone drukke dag, grep zoekt erin naar de paden die ertoe doen, en write_file slaat een kort notitiebestand op met de in te voeren waarden. Een DDoS-aanval op een website aanpakken gaat beter als de drempelwaarden zijn opgeschreven vóór de nacht waarin je ze nodig hebt. Gebruik eerst Plan only om de opzet van de stappen te lezen, omdat die modus niets uitvoert, en wissel dan naar Ask first zodat de agent de samenvatting kan lezen en write_file de notities kan opslaan. Check elk getal tegen je eigen analytics, voer het zelf in en volg de eerste melding goed.
Scheid één drukke ip van veel ip’s
DDoS-verkeer van verspreide ip-adressen beperken kan niet leunen op het blokkeren van één adres, dus vergelijk de aantallen per adres en per pad in je samenvatting. Veel kleine afzenders tellen op. Layer 7 DDoS protection leunt op limieten per pad, omdat elk verzoek op zichzelf normaal lijkt. Shell draait je script voor logsamenvattingen opnieuw zodat het op pad groepeert, en grep zoekt in de nieuwe samenvatting naar de paden waar je om geeft. Als DDoS-aanvallen niet ophouden en je ze op de server niet kunt stoppen, zegt het runbook wanneer je de provider belt. Bekijk de samenvatting in de modus Ask first en test elke nieuwe limiet op een kopie.
