Proje klasörünü aç
Dışa aktarılan erişim logunu ve sunucu ayarlarının bir kopyasını tek klasöre koy, sonra o klasörü SmartCode Relay’de aç.
İş akışları
Layer 7 DDoS: dışa aktarılan logdan runbook’a
03
Küçük bir mağaza sitesinde trafik sıçraması
Mağaza siten dün gece yavaşladı. Neden? Hem bir kampanya hem de bir 7. katman seli bunu açıklayabilir. Elinde dışa aktarılmış bir erişim logu ve sunucu ayarlarının bir kopyası var; bu rehber onları bir özete, bir hız sınırı taslağına ve bir runbook’a dönüştürür.
İstekleri özetle
Ajandan log özeti betiğini çalıştırmasını ve adres ile yol başına istekleri bir CSV dosyasına kaydetmesini iste.
Hız sınırı taslağını hazırla
Ayarlarının kopyasını düzenlemesine izin ver, diff’i oku ve o kopyada kendi test komutunu çalıştır.
Yaz ve kontrol et
ddos-runbook.txt dosyasını kaydet, satır satır oku ve herhangi bir şeyi uygulamadan önce geriye ne kaldığını listelemek için Plan only’yi kullan.
Örnek: tek sayfalık bir müdahale runbook’u
Log özetinden ve sağlayıcı notlarından mağaza sitesi için ddos-runbook.txt yaz.
- read_file
exports/summary.csvokundu - http_get
your provider's status pagealındı - write_file
ddos-runbook.txtkaydedildi - grep
^step ddos-runbook.txt6 eşleşme
Sonraki adımdan önce onayını bekliyorReddetKabul et
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentDüz metindir. Her adım senin ya da sağlayıcının yapacağı bir eylemi söyler, hiçbiri saldırı komutu içermez; son iki satır nasıl geri alınacağını ve ne zaman gözden geçirileceğini anlatır.
İki iş akışı daha
Kendi DDoS izlemen için eşik değerleri yaz
Eşik değerleri zaten kullandığın izleme sistemine aittir; ajan yalnızca sayıları seçmene yardım eder. Kendisi hiçbir uyarı kurmaz. read_file normal yoğun bir günün log özetini açar, grep önemli yolları arar, write_file de girilecek değerleri içeren kısa bir not dosyası kaydeder. Bir web sitesine yönelik DDoS saldırısıyla uğraşmak, eşikler ihtiyaç duyulan geceden önce yazılmışsa daha iyi gider. Önce adımların taslağını okumak için Plan only’yi kullan, çünkü bu mod hiçbir şey çalıştırmaz; sonra ajanın özeti okuyabilmesi ve write_file’ın notları kaydedebilmesi için Ask first’e geç. Her sayıyı kendi analitiğinle karşılaştır, kendin gir ve ilk uyarıyı dikkatle izle.
Yoğun tek adresi çok sayıda adresten ayır
Dağıtık IP’lerden gelen DDoS trafiğini hafifletmek tek bir adresi engellemeye dayanamaz; bu yüzden özetindeki adres başına ve yol başına sayıları karşılaştır. Çok sayıda küçük gönderen toplanınca büyür. Layer 7 DDoS savunması yol başına limitlere yaslanır, çünkü her istek tek başına normal görünür. Shell log özeti betiğini yola göre gruplayacak şekilde yeniden çalıştırır, grep de yeni özette ilgilendiğin yolları arar. DDoS saldırıları dinmiyorsa ve sunucuda durduramıyorsan, runbook sağlayıcıyı ne zaman arayacağını söyler. Özeti Ask first modunda incele ve her yeni limiti bir kopyada test et.
