Protection – Nouzová reakce na DDoS

V tomto článku se dozvíte:

• Jak diagnostikovat DDoS útok
• Jak nouzově zablokovat útok pomocí:
  • GeoIP
  • Filtry
  • Web Application Firewall (WAF)
• Často kladené otázky

---

Diagnostika DDoS

DDoS útoky jsou běžným typem kybernetického útoku, který se snaží zahltit web nebo aplikaci velkým množstvím požadavků. Tyto požadavky obvykle pocházejí z různých regionů, ale mohou přicházet i z jediné IP adresy, rozsahu nebo poskytovatele. Některé mohou mít společný UserAgent, podle kterého je lze účinně filtrovat.

Prvním krokem k adekvátní reakci na probíhající DDoS útok je zjistit, kdo jsou útočníci, a zablokovat je, aniž byste omezili legitimní provoz na svůj web. Nejlepším nástrojem pro analýzu provozu je rozhraní Grafana, které si nastavíte podle článku Protection – Grafana manuál.

Pokud máte podezření, že je váš web nebo aplikace pod útokem, postupujte takto:

1. Přihlaste se do svého rozhraní Grafana ⧉.
2. V Hostitel požadavku filtru vlevo nahoře vyberte doménu, která je pod útokem. V případě potřeby změňte také Časový rozsah vpravo nahoře na 5 minut.
3. Prohledejte logy a hledejte podezřelé chování.
4. Určete nejvhodnější způsob blokování podle rad níže.

Neexistuje jediný správný způsob, jak analýzu logů provést, ale obecně doporučujeme sledovat:

• Anomálie. Tabulka Anomalies uvádí požadavky s chybovými kódy. Patří mezi ně zablokované požadavky (456), které systém již aktivně blokuje. Proti nim nemusíte nic dělat.
• Požadavky ze zemí. Pokud se v tomto seznamu objeví velké množství požadavků z neobvyklých zemí, použijte GeoIP pro zablokování těchto zemí, dokud útok neodezní.
• TOP10 klientských IP. I když to u DDoS útoků není běžné, můžete narazit na neobvykle velký počet požadavků z několika málo IP adres. Ty můžete zablokovat pomocí Filtry.
• TOP10 UserAgentů a Report ASN. Za určitých okolností mohou útočníci sdílet UserAgent nebo ASN. Snadno na ně můžete nastavit filtr tyto.

Pokud se vám nedaří zdroj útoku přesně určit a odfiltrovat, zablokujte útok pomocí WAF.

Jakmile se DDoS útoky nedaří systém shodit, obvykle během několika minut ustanou. Sledujte situaci dál, a jakmile už žádný škodlivý provoz nezaznamenáte, zkuste nouzová opatření zase vypnout.

---

Nouzové blokování

Pokud automatické filtry nestíhají zabránit DDoS (nebo podobnému) útoku na váš web či aplikaci, doporučujeme nastavit:

• GeoIP funguje nejlépe pro rychlou izolaci provozu z vaší země či kontinentu nebo pro blokování provozu z útočících regionů.
• Filtry blokovat konkrétní IP adresy, ASN nebo UserAgenty.
• Web Application Firewall (WAF) dokáže filtrovat provoz podle přísnějších pravidel s vyšší úrovní paranoie.

GeoIP Blocking

Pro nastavení GeoIP postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte GeoIP.
4. Enable Custom GeoIP.
5. Nastavte GeoIP podle svých požadavků (viz níže) a uložte.

Blokování GeoIP obvykle využijete k tomu, abyste:

• Zpřístupnit web nebo aplikaci pouze uživatelům z konkrétní oblasti tímto postupem:
  1. V Nastavení přístupu sekci vyberte Allow Access chování a uložte.
  2. Vyberte cílový dostupný region (regiony) v GeoIP Map. Provoz z nevybraných (modrých) regionů bude blokován.
  3. V Seznam vybraných regionů, klikněte na Save Selected Regions tlačítko.
• Blokovat provoz ze zemí s vysokým počtem či podílem nezablokovaných problematických požadavků takto:
  1. V Nastavení přístupu sekci vyberte Block Access chování a uložte.
  2. Vyberte cílový dostupný region (regiony) v GeoIP Map. Provoz z nevybraných (modrých) regionů bude povolen.
  3. V Seznam vybraných regionů, klikněte na Save Selected Regions tlačítko.

Filtrování provozu

Dostupné filtry provozu jsou:

• IP. Blokuje všechny požadavky ze zadané IP adresy nebo rozsahu.
• ASN. Blokuje všechny požadavky z určitého ASN (Autonomous System Number, které obvykle označuje poskytovatele internetových služeb).
• URL. Blokuje veškerý provoz do určitou URL bez ohledu na zdroj. Použijte, pokud útok cílí na konkrétní zdroj.
• UserAgent. Blokuje provoz na základě řetězců UserAgent.

Pro nastavení filtrů IP, ASN, URL nebo UserAgent postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte Filtry.
4. Zapněte libovolný Vlastní filtr který chcete použít.
5. Přidejte problematické IP adresy, ASN a UserAgenty.

Filtrování WAF

Pokud nemáte jasný údaj o zdroji nebo cíli škodlivého provozu, doporučujeme na dobu útoku zvýšit úroveň paranoie WAF.

Pro změnu úrovně paranoie WAF postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte WAF.
4. Enable Custom WAF.
5. V Úroveň paranoie sekci vyberte Úroveň 2.

---

FAQ

Pomohl vám tento návod?

Vaše hodnocení nám pomáhá návody zlepšovat.

AnoNe

Chcete nám k návodu něco napsat? (nepovinné)

Vzkaz si přečte redakce návodů, ale neodpovídá na něj. Když potřebujete poradit, zeptejte se na komunitním webu Help. Nepište sem hesla ani osobní údaje.

Tohle pole nevyplňujte