Otwórz folder projektu
Umieść wyeksportowany log dostępu i kopię ustawień serwera w jednym folderze, a potem otwórz ten folder w SmartCode Relay.
Przepływy pracy
Ochrona DDoS warstwy 7: od wyeksportowanego logu do runbooka
03
Skok ruchu na stronie małego sklepu
Strona Twojego sklepu zwolniła ostatniej nocy. Dlaczego? Wyjaśnić to mogłaby zarówno kampania, jak i flood warstwy 7. Masz wyeksportowany log dostępu i kopię ustawień serwera, a ten przewodnik zamienia je w podsumowanie, szkic limitu żądań i runbook.
Podsumuj żądania
Poproś agenta o uruchomienie Twojego skryptu podsumowującego logi i zapisanie żądań na adres i na ścieżkę w pliku CSV.
Naszkicuj limit żądań
Pozwól mu edytować kopię Twoich ustawień, przeczytaj diff i uruchom własne polecenie testowe na tej kopii.
Napisz i sprawdź
Zapisz ddos-runbook.txt, przeczytaj go linia po linii i użyj Plan only, aby wypisać, co zostało, zanim cokolwiek zastosujesz.
Przykład: jednostronicowy runbook reagowania
Napisz ddos-runbook.txt dla strony sklepu na podstawie podsumowania logu i notatek dostawcy.
- read_file
exports/summary.csvodczytano - http_get
your provider's status pagepobrano - write_file
ddos-runbook.txtzapisano - grep
^step ddos-runbook.txt6 trafień
Czekam na Twoje OK przed następnym krokiemOdrzućZaakceptuj
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentTo zwykły tekst. Każdy krok wskazuje działanie dla Ciebie lub Twojego dostawcy, żaden nie zawiera polecenia ataku, a dwie ostatnie linie mówią, jak się wycofać i kiedy przeglądać.
Jeszcze dwa przepływy pracy
Zapisz progi dla własnego monitoringu DDoS
Progi należą do systemu monitoringu, który już prowadzisz, a agent tylko pomaga wybrać liczby. Sam nie ustawia żadnych alertów. read_file otwiera podsumowanie logu z normalnego, ruchliwego dnia, grep przeszukuje je pod kątem ważnych ścieżek, a write_file zapisuje krótki plik notatek z wartościami do wpisania. Radzenie sobie z atakiem DDoS na stronę idzie lepiej, gdy progi zapisano przed nocą, w której będą potrzebne. Najpierw użyj Plan only, aby przeczytać zarys kroków, bo ten tryb niczego nie uruchamia, a potem przełącz na Ask first, żeby agent mógł przeczytać podsumowanie, a write_file zapisać notatki. Sprawdź każdą liczbę względem własnej analityki, wpisz ją samodzielnie i uważnie obserwuj pierwszy alert.
Odróżnij jeden bardzo aktywny adres od wielu
Łagodzenie ruchu DDoS z rozproszonych adresów IP nie może opierać się na blokowaniu jednego adresu, więc porównaj liczby na adres i na ścieżkę w swoim podsumowaniu. Wielu małych nadawców się sumuje. Ochrona DDoS warstwy 7 opiera się na limitach na ścieżkę, bo każde żądanie z osobna wygląda normalnie. Shell ponownie uruchamia Twój skrypt podsumowujący logi, aby grupował według ścieżki, a grep przeszukuje nowe podsumowanie pod kątem interesujących Cię ścieżek. Gdy ataki DDoS wydają się nieustępliwe i nie możesz ich zatrzymać na serwerze, runbook mówi, kiedy zadzwonić do dostawcy. Przejrzyj podsumowanie w trybie Ask first i przetestuj każdy nowy limit na kopii.
