Protection – Vészhelyzeti DDoS-reakció

Ebből a cikkből megtudhatja:

• Hogyan diagnosztizálhat egy DDoS-támadást
• Hogyan blokkolhat egy támadást vészhelyzetben a következőkkel:
  • GeoIP
  • Szűrők
  • Web Application Firewall (WAF)
• Gyakran ismételt kérdések

---

DDoS-diagnosztika

A DDoS-támadások a kibertámadások gyakori típusai, amelyek egy weboldalt vagy alkalmazást próbálnak túlterhelni nagy mennyiségű kéréssel. Ezek a kérések jellemzően különböző régiókból érkeznek, de származhatnak egyetlen IP-címről, tartományból vagy szolgáltatótól is. Egyesek közös UserAgentet használhatnak, amelynek alapján hatékonyan szűrhetők.

Az éppen zajló DDoS-támadásra adott megfelelő reakció első lépése annak kiderítése, kik a támadók, és a blokkolásuk anélkül, hogy korlátoznák a weboldalára érkező legitim forgalmat. A forgalomelemzés legjobb eszköze a Grafana felület, amelyet a Protection – Grafana útmutató alapján állíthat be.

Ha azt gyanítja, hogy weboldala vagy alkalmazása támadás alatt áll, kövesse az alábbi lépéseket:

1. Jelentkezzen be a saját Grafana felületére ⧉.
2. A bal felső sarokban található Kérés hosztja szűrőben válassza ki a támadás alatt álló domaint. Szükség esetén módosítsa az időtartományt a jobb felső sarokban 5 percre.
3. Keressen gyanús viselkedést a naplókban.
4. Az alábbi tanácsok alapján határozza meg a legjobb blokkolási módszert.

A naplóelemzésnek nincs egyetlen helyes módja, de általános tanácsként érdemes ellenőrizni a következőket:

• Anomáliák. Az Anomalies táblázat a hibakóddal rendelkező kéréseket sorolja fel. Ide tartoznak a blokkolt kérések (456) is, amelyeket a rendszer már aktívan blokkol. Ezek ellen nem kell intézkednie.
• Országokból érkező kérések. Ha ezen a listán szokatlan országokból nagy számú kérés jelenik meg, használja a GeoIP funkciót ezen országok blokkolására a támadás elcsitulásáig.
• TOP10 Client IPs. Bár DDoS-támadásoknál ez nem jellemző, előfordulhat, hogy néhány IP-címről szokatlanul sok kérést talál. Ezeket blokkolhatja a következővel Szűrők.
• TOP10 UserAgents és ASN-jelentés. Bizonyos körülmények között a támadók ugyanazt a UserAgentet vagy ASN-t használhatják. Könnyen kiszűrheti ezeket.

Ha nem tudja pontosan azonosítani és kiszűrni a támadás forrását, blokkolja a támadást a következővel WAF.

Ha a DDoS-támadások nem tudják térdre kényszeríteni a rendszert, jellemzően néhány percen belül visszavonulnak. Figyelje tovább a helyzetet, és ha már nem észlel kártékony forgalmat, próbálja meg újra kikapcsolni a vészhelyzeti intézkedéseket.

---

Vészhelyzeti blokkolás

Ha az automatikus szűrők túl sokáig tartanak egy DDoS- (vagy más hasonló) támadás megakadályozásához a weboldalán vagy alkalmazásán, javasoljuk a következők beállítását:

• GeoIP a legalkalmasabb a saját országából vagy kontinenséről érkező forgalom gyors elkülönítésére, illetve a támadó régiókból érkező forgalom blokkolására.
• Szűrők lehetővé teszik adott IP-címek, ASN-ek vagy UserAgentek blokkolását.
• Web Application Firewall (WAF) szigorúbb szabályok alapján, magasabb paranoiaszinttel képes szűrni a forgalmat.

GeoIP-blokkolás

A GeoIP beállításához kövesse az alábbi lépéseket:

1. Jelentkezzen be a WEDOS.global adminisztrációba ⧉.
2. Válassza ki a támadás alatt álló domaint.
3. A bal oldali menüben válassza ki a GeoIP.
4. Enable Custom GeoIP.
5. Állítsa be a GeoIP-t az igényei szerint (lásd alább), majd mentse.

A GeoIP-blokkolást jellemzően a következőkre használja:

• A weboldalt vagy alkalmazást csak egy adott térség felhasználói számára tegye elérhetővé a következő lépések szerint:
  1. A bal felső sarokban található Hozzáférési beállítások szakaszban válassza ki az Allow Access viselkedést, majd mentse.
  2. Válassza ki a kívánt elérhető régiót (régiókat) a GeoIP Map. A ki nem jelölt (kék) régiókból érkező forgalom blokkolva lesz.
  3. A bal felső sarokban található Kiválasztott régiók listája, kattintson a Save Selected Regions gombra.
• Blokkolja azon országok forgalmát amelyekből nagy számú vagy arányú nem blokkolt problémás kérés érkezik, a következő lépések szerint:
  1. A bal felső sarokban található Hozzáférési beállítások szakaszban válassza ki az Hozzáférés blokkolása viselkedést, majd mentse.
  2. Válassza ki a kívánt elérhető régiót (régiókat) a GeoIP Map. A ki nem jelölt (kék) régiókból érkező forgalom engedélyezve lesz.
  3. A bal felső sarokban található Kiválasztott régiók listája, kattintson a Save Selected Regions gombra.

Forgalomszűrés

Az elérhető forgalomszűrők:

• IP. Blokkol minden kérést egy megadott IP-címről vagy tartományból.
• ASN. Blokkol minden kérést egy adott ASN-ről (Autonomous System Number, jellemzően egy internetszolgáltatót azonosít).
• URL. Blokkolja az összes forgalmat, amely egy adott URL-re irányul a forrástól függetlenül. Akkor használja, ha a támadás egy konkrét erőforrást céloz.
• UserAgent. A forgalmat UserAgent-karakterláncok alapján blokkolja.

Az IP-, ASN-, URL- vagy UserAgent-szűrők beállításához kövesse az alábbi lépéseket:

1. Jelentkezzen be a WEDOS.global adminisztrációba ⧉.
2. Válassza ki a támadás alatt álló domaint.
3. A bal oldali menüben válassza ki a Szűrők.
4. Kapcsolja be bármelyik Custom Filter opciót, amelyet használni szeretne.
5. Adja hozzá a problémás IP-címeket, ASN-eket és UserAgenteket.

WAF-szűrés

Ha nincs egyértelmű jelzés a kártékony forgalom forrásáról vagy céljáról, javasoljuk, hogy a támadás időtartamára növelje meg a WAF paranoiaszintjét.

A WAF paranoiaszintjének módosításához kövesse az alábbi lépéseket:

1. Jelentkezzen be a WEDOS.global adminisztrációba ⧉.
2. Válassza ki a támadás alatt álló domaint.
3. A bal oldali menüben válassza ki a WAF.
4. Enable Custom WAF.
5. A bal felső sarokban található Paranoia Level szakaszban válassza ki a Level 2.

---

GYIK

Hasznosnak találta ezt a cikket?

Visszajelzése segít nekünk a cikkek fejlesztésében.

IgenNem

Szeretne üzenni nekünk a cikkel kapcsolatban? (nem kötelező)

Üzenetét a dokumentációs csapat olvassa el, de nem válaszol rá. Ha segítségre van szüksége, forduljon hozzánk a kapcsolatfelvételi űrlapon keresztül. Ne írjon ide jelszavakat vagy személyes adatokat.

Ezt a mezőt hagyja üresen