Protection – Nujni odziv na DDoS

V tem članku boste izvedeli:

• Kako diagnosticirati napad DDoS
• Kako zasilno blokirati napad z:
  • GeoIP
  • Filtri
  • Web Application Firewall (WAF)
• Pogosta vprašanja

---

Diagnostika DDoS

Napadi DDoS so pogosta vrsta kibernetskih napadov, ki poskušajo spletno mesto ali aplikacijo preplaviti z velikim številom zahtev. Te zahteve običajno prihajajo iz različnih regij, lahko pa tudi z enega naslova IP, obsega ali ponudnika. Nekatere imajo skupen UserAgent, kar je mogoče izkoristiti za učinkovito filtriranje.

Prvi korak za ustrezen odziv na napad DDoS, ki je v teku, je ugotoviti, kdo so napadalci, in jih blokirati, ne da bi omejili legitimen promet na vašem spletnem mestu. Najboljše orodje za analizo prometa je vmesnik Grafana, ki ga lahko nastavite v skladu z Protection – Grafana priročnikom.

Če sumite, da je vaše spletno mesto ali aplikacija tarča napada, sledite tem korakom:

1. Prijavite se v svoj vmesnik Grafana ⧉.
2. V Gostitelj zahteve filtru zgoraj levo izberite domeno, ki je tarča napada. Po potrebi spremenite tudi Časovni obseg zgoraj desno na 5 minut.
3. Preglejte loge in poiščite sumljivo vedenje.
4. Glede na spodnje nasvete določite najprimernejši način blokiranja.

Ni enega pravilnega načina za analizo logov, a splošen nasvet je, da preverite:

• Anomalije. Tabela Anomalije navaja zahteve s kodami napak. Sem spadajo blokirane zahteve (456), ki jih sistem že aktivno blokira. Zoper njih vam ni treba ukrepati.
• Zahteve iz držav. Če se na tem seznamu pojavi veliko zahtev iz nenavadnih držav, uporabite GeoIP za blokiranje teh držav, dokler napad ne poneha.
• TOP10 odjemalskih IP. Čeprav to pri napadih DDoS ni običajno, lahko opazite nenavadno veliko število zahtev z maloštevilnih naslovov IP. Te lahko blokirate s funkcijo Filtri.
• TOP10 UserAgent in Poročilo ASN. V nekaterih okoliščinah lahko napadalci delijo isti UserAgent ali ASN. Preprosto lahko filtrirate te.

Če vira napada ne morete natančno določiti in odfiltrirati, napad blokirajte s funkcijo WAF.

Ko DDoS napadi ne uspejo spraviti sistema na kolena, se običajno v nekaj minutah umaknejo. Spremljajte stanje in ko ne zaznate več zlonamernega prometa, poskusite zasilne ukrepe spet izklopiti.

---

Zasilno blokiranje

Če samodejni filtri predolgo ne preprečijo napada DDoS (ali podobnega) na vaše spletno mesto ali aplikacijo, priporočamo, da nastavite:

• GeoIP najbolje deluje za hitro izolacijo prometa iz vaše države ali celine ali za blokiranje prometa iz napadalnih regij.
• Filtri blokirajo določene naslove IP, ASN ali UserAgent.
• Web Application Firewall (WAF) omogoča filtriranje prometa na podlagi strožjih pravil z višjo stopnjo paranoje.

Blokiranje GeoIP

Za nastavitev GeoIP sledite tem korakom:

1. Prijavite se v administracijo WEDOS.global ⧉.
2. Izberite domeno, ki je tarča napada.
3. V levem meniju izberite GeoIP.
4. Enable Custom GeoIP.
5. Nastavite GeoIP glede na svoje zahteve (glejte spodaj) in shranite.

GeoIP blokiranje običajno uporabljate, da:

• Spletno mesto ali aplikacijo omogočite samo uporabnikom na določenem območju po naslednjih korakih:
  1. V Nastavitve dostopa razdelku izberite Allow Access vedenje in shranite.
  2. Izberite ciljno razpoložljivo regijo (regije) v GeoIP Map. Promet iz neizbranih (modrih) regij bo blokiran.
  3. V Seznam izbranih regij, kliknite Save Selected Regions gumb.
• Blokirajte promet iz držav z velikim številom ali deležem neblokiranih problematičnih zahtev po naslednjih korakih:
  1. V Nastavitve dostopa razdelku izberite Blokiranje dostopa vedenje in shranite.
  2. Izberite ciljno razpoložljivo regijo (regije) v GeoIP Map. Promet iz neizbranih (modrih) regij bo dovoljen.
  3. V Seznam izbranih regij, kliknite Save Selected Regions gumb.

Filtriranje prometa

Razpoložljivi filtri prometa so:

• IP. Blokira vse zahteve z določenega naslova IP ali obsega.
• ASN. Blokira vse zahteve z določenega ASN (Autonomous System Number, ki običajno identificira ponudnika internetnih storitev).
• URL. Blokira ves promet na določen URL, ne glede na vir. To uporabite, če je napad usmerjen na določen vir.
• UserAgent. Blokira promet na podlagi nizov UserAgent.

Za nastavitev filtrov IP, ASN, URL ali UserAgent sledite tem korakom:

1. Prijavite se v administracijo WEDOS.global ⧉.
2. Izberite domeno, ki je tarča napada.
3. V levem meniju izberite Filtri.
4. Vklopite poljuben Custom Filter ki ga želite uporabiti.
5. Dodajte problematične naslove IP, ASN in UserAgent.

Filtriranje WAF

Če ni jasnega pokazatelja o izvoru ali cilju zlonamernega prometa, vam svetujemo, da za čas napada zvišate stopnjo paranoje WAF.

Za spremembo stopnje paranoje WAF sledite tem korakom:

1. Prijavite se v administracijo WEDOS.global ⧉.
2. Izberite domeno, ki je tarča napada.
3. V levem meniju izberite WAF.
4. Enable Custom WAF.
5. V Stopnja paranoje razdelku izberite Stopnja 2.

---

FAQ

Ali vam je bil ta članek v pomoč?

Vaše mnenje nam pomaga izboljšati naše članke.

DaNe

Bi nam radi sporočili kaj o tem članku? (neobvezno)

Vaše sporočilo prejme ekipa za dokumentacijo, ki nanj ne odgovarja. Če potrebujete pomoč, nas kontaktirajte prek kontaktnega obrazca. Ne vpisujte gesel ali osebnih podatkov.

Tega polja ne izpolnjujte