Abra a pasta do projeto
Coloque o log de acesso exportado e uma cópia das configurações do seu servidor em uma mesma pasta e abra essa pasta no SmartCode Relay.
Fluxos de trabalho
Layer 7 DDoS protection: do log exportado ao runbook
03
Um pico de tráfego no site de uma lojinha
O site da sua loja ficou lento ontem à noite. Por quê? Tanto uma campanha quanto uma inundação de camada 7 poderiam explicar. Você tem um log de acesso exportado e uma cópia das configurações do servidor, e este guia transforma tudo isso em um resumo, um rascunho de limite de taxa e um runbook.
Resuma as requisições
Peça ao agente que execute o seu script de resumo de logs e salve as requisições por endereço e por caminho em um arquivo CSV.
Rascunhe o limite de taxa
Deixe que ele edite a cópia das suas configurações, leia o diff e execute o seu próprio comando de teste nessa cópia.
Escreva e confira
Salve ddos-runbook.txt, leia linha por linha e use o Plan only para listar o que falta antes de aplicar qualquer coisa.
Exemplo: um runbook de resposta de uma página
Escreva ddos-runbook.txt para o site da loja a partir do resumo do log e das anotações do provedor.
- read_file
exports/summary.csvlido - http_get
your provider's status pageobtido - write_file
ddos-runbook.txtsalvo - grep
^step ddos-runbook.txt6 ocorrências
Aguardando seu OK antes do próximo passoRejeitarAceitar
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentÉ texto simples. Cada passo nomeia uma ação para você ou para o seu provedor, nenhum contém um comando de ataque, e as duas últimas linhas dizem como reverter e quando revisar.
Mais dois fluxos
Escreva limiares para o seu próprio monitoramento de DDoS
Os limiares pertencem ao sistema de monitoramento que você já usa, e o agente apenas ajuda a escolher os números. Ele não configura alertas sozinho. O read_file abre o resumo do log de um dia normal e movimentado, o grep procura nele os caminhos que importam, e o write_file salva um arquivo de notas curto com os valores a inserir. Lidar com um ataque DDoS a um site funciona melhor quando os limiares foram escritos antes da noite em que eles são necessários. Use o Plan only primeiro para ler o esboço dos passos, já que esse modo não executa nada, e depois mude para o Ask first para o agente ler o resumo e o write_file salvar as notas. Confira cada número com a sua própria análise de tráfego, insira-o você mesmo e acompanhe o primeiro alerta com atenção.
Separe um endereço movimentado de muitos
A mitigação de tráfego DDoS vindo de IPs distribuídos não pode se apoiar em bloquear um único endereço, então compare as contagens por endereço e por caminho do seu resumo. Muitos remetentes pequenos somam. A proteção DDoS de camada 7 se apoia em limites por caminho, porque cada requisição parece normal isoladamente. O Shell executa de novo o seu script de resumo de logs para agrupar por caminho, e o grep procura no novo resumo os caminhos que interessam. Quando os ataques DDoS parecem incessantes e você não consegue contê-los no servidor, o runbook diz quando chamar o provedor. Revise o resumo no modo Ask first e teste qualquer limite novo em uma cópia.
