Protection – Nouzová reakce na DDoS

V tomto článku se dozvíte:

• Jak diagnostikovat DDoS útok
• Jak nouzově zablokovat útok pomocí:
  • GeoIP
  • Filtry
  • Web Application Firewall (WAF)
• Často kladené otázky

---

Diagnostika DDoS

DDoS útoky jsou běžným typem kybernetického útoku, který se snaží zahltit web nebo aplikaci velkým množstvím požadavků. Tyto požadavky obvykle pocházejí z různých regionů, ale mohou přicházet i z jediné IP adresy, rozsahu nebo poskytovatele. Některé mohou mít společný UserAgent, podle kterého je lze účinně filtrovat.

Prvním krokem k adekvátní reakci na probíhající DDoS útok je zjistit, kdo jsou útočníci, a zablokovat je, aniž byste omezili legitimní provoz na svůj web. Nejlepším nástrojem pro analýzu provozu je rozhraní Grafana, které si nastavíte podle článku Protection – Grafana manuál.

Pokud máte podezření, že je váš web nebo aplikace pod útokem, postupujte takto:

1. Přihlaste se do svého rozhraní Grafana ⧉.
2. V Hostitel požadavku filtru vlevo nahoře vyberte doménu, která je pod útokem. V případě potřeby změňte také Časový rozsah vpravo nahoře na 5 minut.
3. Prohledejte logy a hledejte podezřelé chování.
4. Určete nejvhodnější způsob blokování podle rad níže.

Neexistuje jediný správný způsob, jak analýzu logů provést, ale obecně doporučujeme sledovat:

• Anomálie. Tabulka Anomalies uvádí požadavky s chybovými kódy. Patří mezi ně zablokované požadavky (456), které systém již aktivně blokuje. Proti nim nemusíte nic dělat.
• Požadavky ze zemí. Pokud se v tomto seznamu objeví velké množství požadavků z neobvyklých zemí, použijte GeoIP pro zablokování těchto zemí, dokud útok neodezní.
• TOP10 klientských IP. I když to u DDoS útoků není běžné, můžete narazit na neobvykle velký počet požadavků z několika málo IP adres. Ty můžete zablokovat pomocí Filtry.
• TOP10 UserAgentů a Report ASN. Za určitých okolností mohou útočníci sdílet UserAgent nebo ASN. Snadno na ně můžete nastavit filtr tyto.

Pokud se vám nedaří zdroj útoku přesně určit a odfiltrovat, zablokujte útok pomocí WAF.

Jakmile se DDoS útoky nedaří systém shodit, obvykle během několika minut ustanou. Sledujte situaci dál, a jakmile už žádný škodlivý provoz nezaznamenáte, zkuste nouzová opatření zase vypnout.

---

Nouzové blokování

Pokud automatické filtry nestíhají zabránit DDoS (nebo podobnému) útoku na váš web či aplikaci, doporučujeme nastavit:

• GeoIP funguje nejlépe pro rychlou izolaci provozu z vaší země či kontinentu nebo pro blokování provozu z útočících regionů.
• Filtry blokovat konkrétní IP adresy, ASN nebo UserAgenty.
• Web Application Firewall (WAF) dokáže filtrovat provoz podle přísnějších pravidel s vyšší úrovní paranoie.

GeoIP Blocking

Pro nastavení GeoIP postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte GeoIP.
4. Enable Custom GeoIP.
5. Nastavte GeoIP podle svých požadavků (viz níže) a uložte.

Blokování GeoIP obvykle využijete k tomu, abyste:

• Zpřístupnit web nebo aplikaci pouze uživatelům z konkrétní oblasti tímto postupem:
  1. V Nastavení přístupu sekci vyberte Allow Access chování a uložte.
  2. Vyberte cílový dostupný region (regiony) v GeoIP Map. Provoz z nevybraných (modrých) regionů bude blokován.
  3. V Seznam vybraných regionů, klikněte na Save Selected Regions tlačítko.
• Blokovat provoz ze zemí s vysokým počtem či podílem nezablokovaných problematických požadavků takto:
  1. V Nastavení přístupu sekci vyberte Block Access chování a uložte.
  2. Vyberte cílový dostupný region (regiony) v GeoIP Map. Provoz z nevybraných (modrých) regionů bude povolen.
  3. V Seznam vybraných regionů, klikněte na Save Selected Regions tlačítko.

Filtrování provozu

Dostupné filtry provozu jsou:

• IP. Blokuje všechny požadavky ze zadané IP adresy nebo rozsahu.
• ASN. Blokuje všechny požadavky z určitého ASN (Autonomous System Number, které obvykle označuje poskytovatele internetových služeb).
• URL. Blokuje veškerý provoz do určitou URL bez ohledu na zdroj. Použijte, pokud útok cílí na konkrétní zdroj.
• UserAgent. Blokuje provoz na základě řetězců UserAgent.

Pro nastavení filtrů IP, ASN, URL nebo UserAgent postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte Filtry.
4. Zapněte libovolný Vlastní filtr který chcete použít.
5. Přidejte problematické IP adresy, ASN a UserAgenty.

Filtrování WAF

Pokud nemáte jasný údaj o zdroji nebo cíli škodlivého provozu, doporučujeme na dobu útoku zvýšit úroveň paranoie WAF.

Pro změnu úrovně paranoie WAF postupujte takto:

1. Přihlaste se do zákaznická administrace WEDOS.global ⧉.
2. Vyberte doménu, která je pod útokem.
3. V levém menu vyberte WAF.
4. Enable Custom WAF.
5. V Úroveň paranoie sekci vyberte Úroveň 2.

---

FAQ