Protection – Núdzová reakcia na DDoS

V tomto článku sa dozviete:

• Ako diagnostikovať DDoS útok
• Ako núdzovo zablokovať útok pomocou:
  • GeoIP
  • Filtre
  • Web Application Firewall (WAF)
• Často kladené otázky

---

Diagnostika DDoS

DDoS útoky sú bežným typom kybernetického útoku, ktorý sa snaží zahltiť web alebo aplikáciu veľkým množstvom požiadaviek. Tie zvyčajne pochádzajú z rôznych regiónov, ale môžu prichádzať aj z jedinej IP adresy, rozsahu alebo od jedného poskytovateľa. Niektoré môžu mať spoločný UserAgent, podľa ktorého sa dajú účinne filtrovať.

Prvým krokom k primeranej reakcii na prebiehajúci DDoS útok je zistiť, kto sú útočníci, a zablokovať ich bez toho, aby ste obmedzili legitímnu prevádzku na svojom webe. Najlepším nástrojom na analýzu prevádzky je rozhranie Grafana, ktoré si nastavíte podľa Protection – Grafana návode.

Ak máte podozrenie, že váš web alebo aplikácia sú pod útokom, postupujte takto:

1. Prihláste sa do svojho rozhrania Grafana ⧉.
2. V Host požiadavky filtrom vľavo hore vyberte doménu, ktorá je pod útokom. V prípade potreby zmeňte aj Časový rozsah vpravo hore na 5 minút.
3. Prehľadajte logy a hľadajte podozrivé správanie.
4. Najvhodnejší spôsob blokovania určte podľa rád nižšie.

Neexistuje jediný správny spôsob analýzy logov, všeobecne však odporúčame skontrolovať:

• Anomálie. Tabuľka Anomalies uvádza požiadavky s chybovými kódmi. Patria medzi ne zablokované požiadavky (456), ktoré systém už aktívne blokuje. Proti nim nemusíte nič robiť.
• Požiadavky z krajín. Ak sa v tomto zozname objaví veľké množstvo požiadaviek z neobvyklých krajín, použite GeoIP na zablokovanie týchto krajín, kým útok neustúpi.
• TOP10 klientskych IP. Hoci to pri DDoS útokoch nie je bežné, môžete zaznamenať neobvykle veľký počet požiadaviek z niekoľkých málo IP adries. Tie môžete zablokovať pomocou Filtre.
• TOP10 UserAgentov a ASN Report. Za určitých okolností môžu útočníci zdieľať UserAgent alebo ASN. Jednoducho na ne môžete nastaviť filter tieto.

Ak sa vám nedarí určiť a odfiltrovať zdroj útoku, zablokujte útok pomocou WAF.

Keď sa DDoS útokom nepodarí systém zhodiť, zvyčajne do niekoľkých minút ustúpia. Situáciu naďalej sledujte a keď už nezistíte žiadnu škodlivú prevádzku, skúste núdzové opatrenia opäť vypnúť.

---

Núdzové blokovanie

Ak automatickým filtrom trvá príliš dlho zabrániť DDoS (alebo inému podobnému) útoku na váš web či aplikáciu, odporúčame nastaviť:

• GeoIP funguje najlepšie na rýchle oddelenie prevádzky z vašej krajiny alebo kontinentu, prípadne na zablokovanie prevádzky z útočiacich regiónov.
• Filtre blokovať konkrétne IP adresy, ASN alebo UserAgenty.
• Web Application Firewall (WAF) dokáže filtrovať prevádzku podľa prísnejších pravidiel s vyššou úrovňou paranoje.

Blokovanie GeoIP

Ak chcete nastaviť GeoIP, postupujte takto:

1. Prihláste sa do administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte GeoIP.
4. Enable Custom GeoIP.
5. Nastavte GeoIP podľa svojich požiadaviek (pozrite nižšie) a uložte.

Blokovanie GeoIP budete zvyčajne používať na:

• Sprístupniť web alebo aplikáciu len používateľom v konkrétnej oblasti takto:
  1. V Nastavenia prístupu sekcii vyberte Allow Access správanie a uložte.
  2. Vyberte cieľový dostupný región (regióny) v Mapa GeoIP. Prevádzka z nevybraných (modrých) regiónov bude blokovaná.
  3. V Zoznam vybraných regiónov, kliknite na Save Selected Regions tlačidlo.
• Blokovanie prevádzky z krajín s vysokým počtom alebo podielom nezablokovaných problematických požiadaviek podľa týchto krokov:
  1. V Nastavenia prístupu sekcii vyberte Block Access správanie a uložte.
  2. Vyberte cieľový dostupný región (regióny) v Mapa GeoIP. Prevádzka z nevybraných (modrých) regiónov bude povolená.
  3. V Zoznam vybraných regiónov, kliknite na Save Selected Regions tlačidlo.

Filtrovanie prevádzky

Dostupné filtre prevádzky sú:

• IP. Blokuje všetky požiadavky zo zadanej IP adresy alebo rozsahu.
• ASN. Blokuje všetky požiadavky z určitého ASN (Autonomous System Number, ktoré zvyčajne označuje poskytovateľa internetových služieb).
• URL. Blokuje všetku prevádzku to určitú URL adresu bez ohľadu na zdroj. Použite to, ak útok mieri na konkrétny zdroj.
• UserAgent. Blokuje prevádzku na základe reťazcov UserAgent.

Ak chcete nastaviť filtre IP, ASN, URL alebo UserAgent, postupujte takto:

1. Prihláste sa do administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte Filtre.
4. Zapnite ľubovoľný Vlastný filter ktorý chcete použiť.
5. Pridajte problematické IP adresy, ASN a UserAgenty.

Filtrovanie WAF

Ak nie je jasný zdroj ani cieľ škodlivej prevádzky, odporúčame na čas útoku zvýšiť úroveň paranoie WAF.

Ak chcete zmeniť úroveň paranoje WAF, postupujte takto:

1. Prihláste sa do administrácia WEDOS.global ⧉.
2. Vyberte doménu, ktorá je pod útokom.
3. V ľavom menu vyberte WAF.
4. Enable Custom WAF.
5. V Úroveň paranoie sekcii vyberte Úroveň 2.

---

FAQ

Pomohol vám tento článok?

Vaše hodnotenie nám pomáha zlepšovať naše články.

ÁnoNie

Chceli by ste nám k tomuto článku niečo napísať? (nepovinné)

Vašu správu si prečíta tím tvorcov dokumentácie, ale neodpovedá na ňu. Ak potrebujete poradiť, kontaktujte nás pomocou kontaktného formulára. Nezadávajte sem heslá ani osobné údaje.

Toto pole nevypĺňajte