Protection – Екстрене реагування на DDoS-атаку

У цій статті Ви дізнаєтеся:

• Як діагностувати DDoS-атаку
• Як екстрено заблокувати атаку за допомогою:
  • GeoIP
  • Filters
  • Web Application Firewall (WAF)
• Поширені запитання

---

Діагностика DDoS

DDoS-атаки — поширений тип кібератак, які намагаються перевантажити вебсайт або застосунок великою кількістю запитів. Ці запити зазвичай надходять із різних регіонів, але можуть походити й з однієї IP-адреси, діапазону чи від одного провайдера. Деякі з них можуть мати спільний UserAgent, за яким їх можна ефективно відфільтрувати.

Першим кроком до адекватної реакції на DDoS-атаку, що триває, є з’ясування, хто атакує, і блокування цих джерел без обмеження легітимного трафіку на Вашому сайті. Найкращий інструмент для аналізу трафіку — інтерфейс Grafana, який можна налаштувати за Protection – Grafana інструкцією.

Якщо Ви підозрюєте, що Ваш вебсайт або застосунок атакують, виконайте такі кроки:

1. Увійдіть до Вашого інтерфейсу Grafana ⧉.
2. У фільтрі Хост запиту у лівому верхньому куті виберіть домен, який атакують. За потреби також змініть Часовий діапазон у правому верхньому куті на 5 хвилин.
3. Перегляньте логи на предмет підозрілої поведінки.
4. Визначте найкращий метод блокування відповідно до наведених нижче порад.

Єдиного правильного способу аналізу логів не існує, але загалом варто перевірити:

• Аномалії. У таблиці аномалій наведено запити з кодами помилок. Серед них є заблоковані запити (456), які система вже активно блокує. Вживати щодо них заходів не потрібно.
• Запити з країн. Якщо в цьому списку з’являється велика кількість запитів з незвичних країн, скористайтеся GeoIP щоб заблокувати ці країни, доки атака не вщухне.
• TOP10 IP-адрес клієнтів. Хоча для DDoS-атак це нетипово, Ви можете помітити аномально велику кількість запитів з кількох IP-адрес. Заблокувати їх можна за допомогою Filters.
• TOP10 UserAgent і Звіт ASN. За певних обставин зловмисники можуть використовувати спільний UserAgent або ASN. Ви можете легко відфільтрувати їх.

Якщо Вам не вдається визначити й відфільтрувати джерело атаки, заблокуйте атаку за допомогою WAF.

Коли DDoS-атакам не вдається вивести систему з ладу, вони зазвичай припиняються протягом кількох хвилин. Продовжуйте стежити за ситуацією, а коли зловмисний трафік зникне, спробуйте знову вимкнути екстрені заходи.

---

Екстрене блокування

Якщо автоматичні фільтри надто довго не можуть зупинити DDoS-атаку (або іншу подібну) на Ваш вебсайт чи застосунок, рекомендуємо налаштувати:

• GeoIP найкраще підходить для швидкої ізоляції трафіку з Вашої країни чи континенту або для блокування трафіку з регіонів, звідки йде атака.
• Filters блокувати певні IP-адреси, ASN або UserAgent.
• Web Application Firewall (WAF) може фільтрувати трафік за суворішими правилами з вищим рівнем параної.

Блокування GeoIP

Щоб налаштувати GeoIP, виконайте такі кроки:

1. Увійдіть до адміністративної панелі WEDOS.global ⧉.
2. Виберіть домен, який атакують.
3. У меню ліворуч виберіть GeoIP.
4. Enable Custom GeoIP.
5. Налаштуйте GeoIP відповідно до своїх вимог (див. нижче) і збережіть.

Блокування GeoIP зазвичай використовують, щоб:

• Зробити вебсайт або застосунок доступним лише для користувачів у певному регіоні виконавши такі кроки:
  1. У фільтрі Налаштування доступу розділі виберіть поведінку Allow Access та збережіть.
  2. Виберіть цільовий доступний регіон (регіони) на Карта GeoIP. Трафік з невибраних (синіх) регіонів буде заблоковано.
  3. У фільтрі Список вибраних регіонів, натисніть Save Selected Regions кнопку.
• Блокувати трафік з країн з великою кількістю або часткою незаблокованих проблемних запитів, виконавши такі кроки:
  1. У фільтрі Налаштування доступу розділі виберіть поведінку Блокування доступу та збережіть.
  2. Виберіть цільовий доступний регіон (регіони) на Карта GeoIP. Трафік з невибраних (синіх) регіонів буде дозволено.
  3. У фільтрі Список вибраних регіонів, натисніть Save Selected Regions кнопку.

Фільтрація трафіку

Доступні фільтри трафіку:

• IP. Блокує всі запити із зазначеної IP-адреси або діапазону.
• ASN. Блокує всі запити з певної ASN (Autonomous System Number, зазвичай ідентифікує інтернет-провайдера).
• URL. Блокує весь трафік на певний URL незалежно від джерела. Використовуйте це, якщо атака спрямована на конкретний ресурс.
• UserAgent. Блокує трафік на основі рядків UserAgent.

Щоб налаштувати фільтри IP, ASN, URL або UserAgent, виконайте такі кроки:

1. Увійдіть до адміністративної панелі WEDOS.global ⧉.
2. Виберіть домен, який атакують.
3. У меню ліворуч виберіть Filters.
4. Увімкніть будь-який Custom Filter який Ви хочете використати.
5. Додайте проблемні IP-адреси, ASN і UserAgent.

Фільтрація WAF

Якщо немає чіткого показника джерела чи цілі зловмисного трафіку, радимо підвищити рівень параної WAF на час атаки.

Щоб змінити рівень параної WAF, виконайте такі кроки:

1. Увійдіть до адміністративної панелі WEDOS.global ⧉.
2. Виберіть домен, який атакують.
3. У меню ліворуч виберіть WAF.
4. Enable Custom WAF.
5. У фільтрі Рівень параної розділі виберіть Рівень 2.

---

FAQ

Чи була ця стаття корисною?

Ваша оцінка допомагає нам покращувати статті.

ТакНі

Хочете щось повідомити нам про цю статтю? (необов’язково)

Ваше повідомлення прочитає редакція документації, але вона на нього не відповідає. Якщо вам потрібна допомога, звертайтеся до нас через контактну форму. Не вказуйте тут паролі чи особисті дані.

Не заповнюйте це поле