Ataque de 29Mpps, Layer7 (HTTP GET e POST) - Como reagir?

[Visitante]

basta aumentar a RAM.

e uma dica:

Cuidado. pois não é sempre que se tem 29 Mpps de ataques contra o seu propio servidor.

algo de errado tem ai.

...

 

Vou fingir que não li isso, mas obrigado pela dica :)

[ITechGroup com br]

Camaradas tive o mesmo problema... derrubaram diversas vezes o site de um cliente meu com o http flood, inseri apenas estas linhas no .htaccess na raiz do site e mitigaram os ataques.

 

--------------------------------------------------------------------------------------------------------------

 

os referers:

 

http://www.hyperfilter.com%{REQUEST_URI}? [R=301,L]

 

RewriteCond %{THE_REQUEST} \?(ref=.*)?\ HTTP [NC]

RewriteRule .? http://www.hyperfilter.com%{REQUEST_URI}? [R=301,L]

 

RewriteCond %{THE_REQUEST} \?(=.*)?\ HTTP [NC]

RewriteRule .? http://www.hyperfilter.com%{REQUEST_URI}? [R=301,L]

 

--------------------------------------------------------------------------------------

 

Mitigou no mesmo instante....

[asih3872gfuajs]

Olá pessoal,

 

Hoje um de meus servidores foi alvo de um ataque fortissimo (Fortissimo, 29Mpps - 29 milhões de pacotes por segundo, sim, isso mesmo!)

 

O servidor alvo opera com as seguintes configurações de hardware:

 

- 32 GB RAM DDR3 ECC

- Intel Xeon E5 1660v2

- 4x 480GB SSD + RAID10

- CloudLinux (+grsecurity e kernel hardened para alto load TCP/Jumboframe)

- Servidor Web rodando com Nginx como front-end, apache como back-end.) 

- PHP 5.4 (rodando com Handler FastCGI + MPM Prefork, etc...)

 

A questão é, o servidor está configurado corretamente, como otimizar o mesmo para suportar tantas requisições Layer7? 

 

Caso alguém sugerir algum tipo de cache ou otimização apache, estamos aí.

 

Obs: O servidor nginx cai após alguns segundos (mesmo trabalhando com 4 workers e limite de 4096 conexões por worker)

 

Obs: Estou trabalhando em conjunto com a BlackLotus para mitigar o ataque.

 

Erick, recebi muito ataque em Layer 7 nos últimos meses e, consegui uma forma de se proteger. Hoje, não caio mais.

Me adiciona no Skype, podemos bater um papo sobre isso :D

Skype: virtushostoficial

[Bruno Marques]

Erick, estranho nginx não segurar, você esta usando ele como proxy reverso? ou está fazendo cache também?

 

as paginas requisitadas são legitimas? é possível fazer cache delas? 

[Visitante]

Erick, estranho nginx não segurar, você esta usando ele como proxy reverso? ou está fazendo cache também?

 

as paginas requisitadas são legitimas? é possível fazer cache delas? 

 

Bruno, de qualquer forma, o nginx em si não é capaz de fazer milagres... Estamos falando de 29M pps, que no caso, são duas portas 10GigE inteira de ataques.

 

O problema foi resolvido após ter sido provisionado um CDN com Proxy reverso.

[Bruno Marques]

Erik quando disse em segurar não disse apenas o nginx em si! achei estranho ele logo cair, se o nginx estiver configurado de forma correta, e as paginas forem 100% cacheaveis ele conseguirá segurar uma boa pancada, esta usando staminus, chegaram a filtrar algo? que mal lhe pergunte, qual o site que está recebendo este volume de ataque, e como estão fazendo? get? post? qual cdn conseguiu filtrar isso para você? 

[Visitante]

Erik quando disse em segurar não disse apenas o nginx em si! achei estranho ele logo cair, se o nginx estiver configurado de forma correta, e as paginas forem 100% cacheaveis ele conseguirá segurar uma boa pancada, esta usando staminus, chegaram a filtrar algo? que mal lhe pergunte, qual o site que está recebendo este volume de ataque, e como estão fazendo? get? post? qual cdn conseguiu filtrar isso para você? 

 

O nginx estava bem otimizado sim (tentamos inclusive com Varnish Cache configurado corretamente...).

 

Não utilizo Staminus. Possuo rede própria (AS264409). 

 

O site é de um cliente de game. O ataque é HTTP POST (semelhante ao XMLRPC/PingBack, mas sem ref...).

 

--

 

Nesse caso, coloquei na EdgeCast. Já hoje, utilizo nodes em 3 POPs (uma /24 anunciada em cada localidade).

[Bruno Marques]

Legal temos asn , e usamos staminus para filtrar ataques internacionais, é ataques post é uma merda para filtrar tem que ser feito antes de bater no web se não sem chance, quando ainda é apenas get até temos alguma chance :D 

[cemflinux]

@Erick

 

Bem interessante.

Aqui estamos com diversos ataques, mas todos UDP's e chega a estourar nossa porta 10G por completo.

A saida aqui foras com coleta por flow e envio de ip's direto para blackhole da operadora. 

As vezes não anunciamos para certas localidades da Europa/Asia por um tempo.

[Pedro Sodre]

Erick, recebi muito ataque em Layer 7 nos últimos meses e, consegui uma forma de se proteger. Hoje, não caio mais.

Me adiciona no Skype, podemos bater um papo sobre isso :D

Skype: virtushostoficial

 

A ideia de fórum é compartilhamento de informações, não respeito muito a atitude de querer contato por skype pra ajudar, parece que só quer vender algo  :(

 

Sobre o ataque, se é HTTP POST, CDN para o site não ajudaria?