Ochrona - reagowanie na ataki DDoS

W tym artykule dowiesz się:

• Jak zdiagnozować atak DDoS
• Jak awaryjnie zablokować atak przy użyciu:
  • GeoIP
  • Filtry
  • Web Application Firewall (WAF)
• Często zadawane pytania

---

Diagnostyka DDoS

Ataki DDoS są powszechnym rodzajem cyberataków, które próbują przytłoczyć stronę internetową lub aplikację dużą liczbą żądań. Żądania te zazwyczaj pochodzą z różnych regionów, ale mogą również pochodzić z jednego adresu IP, zakresu lub dostawcy. Niektóre z nich mogą mieć wspólny UserAgent, który może być wykorzystany do ich skutecznego filtrowania.

Pierwszym krokiem do odpowiedniej reakcji na trwający atak DDoS jest ustalenie, kim są atakujący i zablokowanie ich, bez ograniczania legalnego ruchu do witryny. Najlepszym narzędziem do analizy ruchu jest interfejs Grafana, który można skonfigurować zgodnie z instrukcją Protection - Grafana.

Jeśli podejrzewasz, że Twoja witryna lub aplikacja jest atakowana, wykonaj następujące kroki:

1. Zaloguj się do interfejsu Grafana ⧉.
2. W filtrze Request host w lewym górnym rogu wybierz domenę, która jest atakowana. W razie potrzeby zmień również zakres czasu w prawym górnym rogu na 5 minut.
3. Przeszukaj dzienniki w poszukiwaniu podejrzanych zachowań.
4. Określ najlepszą metodę blokowania zgodnie z poniższymi wskazówkami.

Nie ma jednego prawidłowego sposobu przeprowadzania analizy dziennika, ale ogólną radą jest sprawdzenie:

• Anomalie. Tabela Anomalie zawiera listę żądań z kodami błędów. Obejmują one zablokowane żądania (456), które system już aktywnie blokuje. Nie trzeba podejmować działań przeciwko nim.
• Żądania z krajów. Jeśli na tej liście pojawi się duża liczba żądań z nietypowych krajów, użyj GeoIP, aby zablokować te kraje, dopóki atak nie ustąpi.
• TOP10 adresów IP klientów. Chociaż nie jest to powszechne w przypadku ataków DDoS, możesz znaleźć nienormalnie dużą liczbę żądań z kilku adresów IP. Można je zablokować za pomocą filtrów.
• RaportTOP10 UserAgents i ASN. W niektórych okolicznościach atakujący mogą współdzielić UserAgent lub ASN. Można je łatwo filtrować.

Jeśli nie jesteś w stanie wskazać i odfiltrować źródła ataku, zablokuj go za pomocą WAF.

Gdy ataki DDoS nie doprowadzą do awarii systemu, zazwyczaj wycofują się w ciągu kilku minut. Monitoruj sytuację, a gdy nie wykryjesz więcej złośliwego ruchu, spróbuj ponownie wyłączyć środki awaryjne.

---

Blokowanie awaryjne

Jeśli automatyczne filtry zajmują zbyt dużo czasu, aby zapobiec atakowi DDoS (lub innemu podobnemu atakowi) na Twoją witrynę lub aplikację, zalecamy ich skonfigurowanie:

• GeoIP działa najlepiej, aby szybko odizolować ruch z kraju lub kontynentu lub zablokować ruch z atakujących regionów.
• Filtry blokują określone adresy IP, ASN lub UserAgents.
• Web Application Firewall (WAF) jest w stanie filtrować ruch w oparciu o bardziej rygorystyczne reguły z wyższym poziomem paranoi.

Blokowanie GeoIP

Aby skonfigurować GeoIP, wykonaj następujące kroki:

1. Zaloguj się do panelu administracyjnego WEDOS.global ⧉.
2. Wybierz atakowaną domenę.
3. W menu po lewej stronie wybierz GeoIP.
4. Włącz niestandardowy GeoIP.
5. Skonfiguruj GeoIP zgodnie ze swoimi wymaganiami (patrz poniżej) i zapisz.

Blokowanie GeoIP jest zazwyczaj używane do:

• Udostępniać witrynę lub aplikację tylko użytkownikom w określonym obszarze. wykonując następujące kroki:
  1. W sekcji Ustawienia dostępu wybierz zachowanie Zezwalaj na dostęp i zapisz.
  2. Wybierz docelowe dostępne regiony na mapie GeoIP. Ruch z niewybranych (niebieskich) regionów zostanie zablokowany.
  3. Na liście wybranych regionów kliknij przycisk Zapisz wybrane regiony.
• Blokowanie ruchu z krajów z dużą ilością lub współczynnikiem odblokowanych problematycznych żądań, wykonując następujące kroki:
  1. W sekcji Ustawienia dostępu wybierz zachowanie Blokuj dostęp i zapisz.
  2. Wybierz docelowe dostępne regiony na mapie GeoIP. Ruch z niewybranych (niebieskich) regionów będzie dozwolony.
  3. Na liście wybranych regionów kliknij przycisk Zapisz wybrane regiony.

Filtrowanie ruchu

Dostępne filtry ruchu to:

• IP. Blokuje wszystkie żądania z określonego adresu IP lub zakresu.
• ASN. Blokuje wszystkie żądania z określonego ASN (Autonomous System Number, zazwyczaj identyfikujący dostawcę usług internetowych).
• URL. Blokuje cały ruch do określonego adresu URL, niezależnie od źródła. Użyj tej opcji, jeśli atak jest ukierunkowany na określony zasób.
• UserAgent. Blokuje ruch na podstawie ciągów UserAgent.

Aby skonfigurować filtry IP, ASN, URL lub UserAgent, wykonaj następujące kroki:

1. Zaloguj się do panelu administracyjnego WEDOS.global ⧉.
2. Wybierz atakowaną domenę.
3. W menu po lewej stronie wybierz Filtry.
4. Włącz dowolny filtr niestandardowy, którego chcesz użyć.
5. Dodawanie problematycznych adresów IP, ASN i UserAgents.

Filtrowanie WAF

Jeśli nie ma wyraźnego wskaźnika dotyczącego źródła lub celu złośliwego ruchu, zalecamy zwiększenie poziomu paranoi WAF na czas trwania ataku.

Aby zmienić poziom paranoi WAF, wykonaj następujące kroki:

1. Zaloguj się do panelu administracyjnego WEDOS.global ⧉.
2. Wybierz atakowaną domenę.
3. W menu po lewej stronie wybierz WAF.
4. Włącz niestandardowy WAF.
5. W sekcji Poziom paranoi wybierz Poziom 2.

---

FAQ