Protection – Núdzová reakcia na DDoS

V tomto článku sa dozviete:

• Ako diagnostikovať DDoS útok
• Ako núdzovo zablokovať útok pomocou:
  • GeoIP
  • Filtre
  • Web Application Firewall (WAF)
• Často kladené otázky

---

Diagnostika DDoS

DDoS útoky sú bežným typom kybernetického útoku, ktorý sa snaží zahltiť web alebo aplikáciu veľkým množstvom požiadaviek. Tieto požiadavky zvyčajne pochádzajú z rôznych regiónov, ale môžu prichádzať aj z jedinej IP adresy, rozsahu alebo od jedného poskytovateľa. Niektoré môžu mať spoločný UserAgent, ktorý sa dá využiť na ich účinné odfiltrovanie.

Prvým krokom na adekvátnu reakciu na prebiehajúci DDoS útok je zistiť, kto sú útočníci, a zablokovať ich bez toho, aby ste obmedzili legitímnu prevádzku na svoj web. Najlepším nástrojom na analýzu prevádzky je rozhranie Grafana, ktoré si nastavíte podľa Protection – Grafana návod.

Ak máte podozrenie, že váš web alebo aplikácia je pod útokom, postupujte takto:

1. Prihláste sa do svojho Rozhranie Grafana ⧉.
2. V Host požiadavky filtri vľavo hore zvoľte doménu, ktorá je pod útokom. V prípade potreby zmeňte aj Časový rozsah vpravo hore na 5 minút.
3. Prehľadajte logy a hľadajte podozrivé správanie.
4. Určite najvhodnejší spôsob blokovania podľa rád nižšie.

Neexistuje jediný správny spôsob, ako analýzu logov vykonať, ale všeobecne odporúčame sledovať:

• Anomálie. Tabuľka Anomálie uvádza požiadavky s chybovými kódmi. Patria sem aj blokované požiadavky (456), ktoré systém už aktívne blokuje. Nie je potrebné proti nim podnikať žiadne kroky.
• Požiadavky z krajín. Ak sa na tomto zozname objaví veľké množstvo požiadaviek z nezvyčajných krajín, použite GeoIP pre zablokovanie týchto krajín, kým útok neustane.
• TOP10 klientskych IP. Hoci to pri DDoS útokoch nie je bežné, môžete zaznamenať neobvykle veľký počet požiadaviek z niekoľkých IP adries. Tie môžete zablokovať pomocou Filtre.
• TOP10 UserAgentov a Report ASN. Za určitých okolností môžu útočníci zdieľať rovnaký UserAgent alebo ASN. Ľahko ich môžete filter tieto.

Ak sa vám nedarí presne určiť a odfiltrovať zdroj útoku, zablokujte útok pomocou WAF.

Keď sa DDoS útokom nepodarí zhodiť systém, zvyčajne do niekoľkých minút ustanú. Situáciu naďalej sledujte a keď už nezaznamenáte žiadnu škodlivú prevádzku, skúste núdzové opatrenia znova vypnúť.

---

Núdzové blokovanie

Ak automatickým filtrom trvá príliš dlho zabrániť DDoS (alebo inému podobnému) útoku na váš web či aplikáciu, odporúčame nastaviť:

• GeoIP funguje najlepšie na rýchle oddelenie prevádzky z vašej krajiny alebo kontinentu alebo na blokovanie prevádzky z útočiacich regiónov.
• Filtre blokovať konkrétne IP adresy, ASN alebo UserAgenty.
• Web Application Firewall (WAF) dokáže filtrovať prenos podľa prísnejších pravidiel s vyššou úrovňou paranoje.

GeoIP blokovanie

GeoIP nastavíte takto:

1. Prihláste sa do Administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte GeoIP.
4. Zapnúť Vlastná GeoIP.
5. Nastavte GeoIP podľa svojich požiadaviek (viď nižšie) a uložte.

Blokovanie GeoIP zvyčajne použijete na:

• Sprístupniť web alebo aplikáciu iba používateľom v konkrétnej oblasti takto:
  1. V Nastavenie prístupu sekcii vyberte Povoliť prístup správanie a uložte.
  2. Vyberte cieľový dostupný región (regióny) v Mapa GeoIP. Prevádzka z nevybraných (modrých) oblastí bude blokovaná.
  3. V Zoznam vybraných regiónov, kliknite na Uložiť vybrané regióny tlačidlo.
• Blokovať prevádzku z krajín s vysokým počtom alebo podielom nezablokovaných problematických požiadaviek podľa nasledujúcich krokov:
  1. V Nastavenie prístupu sekcii vyberte Blokovať prístup správanie a uložte.
  2. Vyberte cieľový dostupný región (regióny) v Mapa GeoIP. Prevádzka z nevybraných (modrých) oblastí bude povolená.
  3. V Zoznam vybraných regiónov, kliknite na Uložiť vybrané regióny tlačidlo.

Filtrovanie prevádzky

Dostupné filtre prevádzky sú:

• IP. Blokuje všetky požiadavky zo zadanej IP adresy alebo rozsahu.
• ASN. Blokuje všetky požiadavky z určitého ASN (Autonomous System Number, zvyčajne identifikujúceho poskytovateľa internetových služieb).
• URL. Blokuje všetku prevádzku na určitú URL bez ohľadu na zdroj. Použite to, ak útok mieri na konkrétny zdroj.
• UserAgent. Blokuje prevádzku na základe reťazcov UserAgent.

Filtre IP, ASN, URL alebo UserAgent nastavíte takto:

1. Prihláste sa do Administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte Filtre.
4. Zapnite ľubovoľné Vlastný filter ktorú chcete použiť.
5. Pridajte problematické IP adresy, ASN a UserAgenty.

Filtrovanie WAF

Ak neexistuje jasný ukazovateľ zdroja alebo cieľa škodlivej prevádzky, odporúčame na čas útoku zvýšiť úroveň paranoie WAF.

Úroveň paranoje WAF zmeníte takto:

1. Prihláste sa do Administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte WAF.
4. Zapnúť Vlastný WAF.
5. V Úroveň paranoie sekcii vyberte Úroveň 2.

---

FAQ