Mở thư mục dự án
Đặt log truy cập đã xuất và bản sao cài đặt máy chủ vào cùng một thư mục, rồi mở thư mục đó trong SmartCode Relay.
Quy trình
Layer 7 DDoS: từ log đã xuất đến runbook
03
Lưu lượng tăng đột biến trên một trang cửa hàng nhỏ
Trang cửa hàng của bạn chậm hẳn đi tối qua. Vì sao? Cả một chiến dịch lẫn một đợt flood tầng 7 đều có thể giải thích điều đó. Bạn có một log truy cập đã xuất và bản sao cài đặt máy chủ, và hướng dẫn này biến chúng thành bản tóm tắt, bản nháp giới hạn tốc độ và runbook.
Tóm tắt các yêu cầu
Yêu cầu tác tử chạy tập lệnh tóm tắt log của bạn và lưu số yêu cầu theo từng địa chỉ và từng đường dẫn vào một tệp CSV.
Soạn nháp giới hạn tốc độ
Để nó chỉnh sửa bản sao cài đặt của bạn, đọc diff, và chạy lệnh kiểm thử của riêng bạn trên bản sao đó.
Viết và kiểm tra
Lưu ddos-runbook.txt, đọc từng dòng, và dùng Plan only để liệt kê những gì còn lại trước khi áp dụng bất cứ thứ gì.
Ví dụ: runbook ứng phó một trang
Viết ddos-runbook.txt cho trang cửa hàng từ bản tóm tắt log và ghi chú của nhà cung cấp.
- read_file
exports/summary.csvđã đọc - http_get
your provider's status pageđã tải - write_file
ddos-runbook.txtđã lưu - grep
^step ddos-runbook.txt6 kết quả khớp
Đang chờ bạn OK trước bước tiếp theoTừ chốiChấp nhận
ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incidentĐây là văn bản thuần. Mỗi bước nêu một hành động cho bạn hoặc nhà cung cấp, không bước nào chứa lệnh tấn công, và hai dòng cuối nói cách khôi phục và khi nào nên xem xét lại.
Hai quy trình nữa
Viết ngưỡng cho hệ thống giám sát DDoS của riêng bạn
Các ngưỡng thuộc về hệ thống giám sát bạn đã dùng, còn tác tử chỉ giúp bạn chọn con số. Nó không tự đặt cảnh báo nào. read_file mở bản tóm tắt log của một ngày bận rộn bình thường, grep tìm những đường dẫn quan trọng, và write_file lưu một tệp ghi chú ngắn với các giá trị cần nhập. Đối phó với một cuộc tấn công DDoS vào trang web sẽ suôn sẻ hơn khi các ngưỡng đã được viết ra trước cái đêm cần đến chúng. Hãy dùng Plan only trước để đọc dàn ý các bước, vì chế độ đó không chạy gì, rồi chuyển sang Ask first để tác tử đọc bản tóm tắt và write_file lưu ghi chú. Đối chiếu từng con số với số liệu phân tích của bạn, tự nhập vào, và theo dõi cảnh báo đầu tiên thật cẩn thận.
Tách một địa chỉ bận rộn khỏi nhiều địa chỉ
Giảm thiểu lưu lượng DDoS từ các IP phân tán không thể dựa vào việc chặn một địa chỉ, nên hãy so sánh số đếm theo địa chỉ và theo đường dẫn trong bản tóm tắt của bạn. Nhiều bên gửi nhỏ cộng lại thành lớn. Chống DDoS tầng 7 dựa vào giới hạn theo từng đường dẫn, vì mỗi yêu cầu nhìn riêng đều bình thường. Shell chạy lại tập lệnh tóm tắt log để gom theo đường dẫn, và grep tìm trong bản tóm tắt mới những đường dẫn bạn quan tâm. Khi các cuộc tấn công DDoS dường như không dứt và bạn không thể ngăn chúng ở máy chủ, runbook cho biết khi nào gọi nhà cung cấp. Hãy xem bản tóm tắt ở chế độ Ask first và kiểm thử mọi giới hạn mới trên một bản sao.
