今天我一直在处理一个服务器，看起来像是一个SYN洪水攻击。 将网站重新上线是一件非常急切的事情，所以我们通过三个步骤将服务恢复到可用状态。 在攻击过程中服务器负载很低，所以服务器没有closures，只是超时了HTTP访问者。 现在我不相信这些解决了这个问题，但他们肯定解决了这个问题，直到洪水消退。 设置sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_recv = 5 Apache prefork ServerLimit和MaxClient增加到512（从256）。 将Apache ListenBackLog设置为1024 我在网上的其他地方看到了各种iptables -limit选项，但是我们得出的结论是，这些会限制合法的stream量，因为被请求网页的每个项目（每个图像等）都会计入这个限制，停止页面完全加载。 人们在这些情况下做了什么，而且我们的行动是否明智，因为负荷不是问题？
是否有可能打破一些使用DDoS的网站服务？ 例如，仅禁用特定网站的searchfunction。 在韩国发生争议之后，我提出这个问题，在选举期间，部分选举监督网站被closures。 政府声称这是由于DDoS攻击，但很多韩国人不相信这个故事。 相关新闻： http : //thevotingnews.com/international/asia/korea/election-watchdog%E2%80%99s-website-attacked-by-ddos-korea-herald/
最近，由于使用ntpdc的NTP服务器DRDoS放大攻击 ，我们的某个ESXi服务器出现了一些问题。 如何configurationESXi上的NTP服务器以避免受到此次DDoS攻击？ 或者，如果我closures服务，这会对我的虚拟机有什么影响吗？
我的网站正在被攻击，正在使用所有的内存。 我查看了Apache日志，并且每个恶意攻击似乎都只是/上的POST请求，这对于普通用户来说是不需要的。 所以我想，想知道是否有任何解决scheme或实用工具，将监视我的Apache日志，并阻止每个IP在网站的根执行POST请求。 我不熟悉DDoS保护，search似乎没有给我一个答案，所以我来到这里。 谢谢。 示例日志： 103.3.221.202 – – [30/Sep/2012:16:02:03 +0000] "POST / HTTP/1.1" 302 485 "-" "Mozilla/5.0 (iPad; CPU OS 5_1_1 like Mac OS X) AppleWebKit/534.46 (KHTML, like Gecko) Version/5.1 Mobile/9B206 Safari/7534.48.3" 122.72.80.100 – – [30/Sep/2012:16:02:03 +0000] "POST / HTTP/1.1" 302 485 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_7_4) AppleWebKit/536.11 (KHTML, like Gecko) […]
在DDoS攻击期间，即使您在数据中心成功停止DDoS攻击，您与ISP之间的链接仍然会饱和，stream量也会停止。 在这种情况下，与ISP进行通信以阻断ISP级源IP地址的最佳方式是什么？当然，一定有更好的方法，比给他们发电子邮件或打电话？
我们今天早些时候通过DDoS攻击进行了攻击。 在我们的负载平衡器（HAProxy）上，连接的数量是正常的20倍，所有的后端节点在这次攻击中继续下降。 System structure: HAProxy > Squid > Apache (for ModSecurity) > IIS app layer. 在攻击过程中，我注意到Apache中出现了一个MaxClients Reach错误，所以我把这个设置从150提升到了250，似乎有所帮助。 但是，似乎我不得不手动重启Apache以使后端恢复。 袭击持续了大约50分钟。 在攻击开始消退之后，每个节点上最后的Apache重新启动将我们带入绿色，但是现在我正在考虑为什么它首先发生。 在Apache的错误日志中，我看到了很多这样的： [Wed Jun 22 11:46:12 2011] [error] [client 10.xxx] proxy: Error reading from remote server returned by /favicon.ico [Wed Jun 22 11:46:13 2011] [error] [client 10.xxx] (70007)The timeout specified has expired: proxy: error reading status […]
我的服务器运行在100％的CPU上，看着Apache日志，我看到成千上万的连接如下所示： 10.190.45.31 – – [13/Mar/2014:15:29:02 +0000] "GET SOMETHING HTTP/1.1" 200 2261 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (via ggpht.com GoogleImageProxy)" IP是我的负载平衡器，不幸的是我没有设置日志logging，所以我不能确定这个请求的真实来源。 有谁知道这是什么样的stream量？
在我们的年度安全审查中，我想起了今年早些时候发生的一个事件，那就是我们的组织Web服务器受到了威胁。 这是一个组织的政策，并威胁到DDoS我们的网站。 幸运的是，这并没有什么不好，事实certificate这是一个空洞的威胁。 但是，我们仍然立即通知了CIO，CSO，首席执行官和我们的托pipe服务提供商，他们为我们的答复鼓掌。 由于我们组织（教育）的性质，先发制人的响应涉及许多人，包括与当地执法机构的协调。 尽pipe我们的回应足以应付一个空洞的威胁，但这让我意识到，如何规划networking应用程序的攻击已经发生了。 现在的设置是： 不在企业防火墙之后的Linode VPS（背后有一个很长的故事，不值得解释） 一个只允许本地连接的同一台服务器上的PostgreSQL数据库 一个Nginx服务器，我们目前正在遵循最佳实践来保证[ 1 ] 我们正在迁移到证书authentication的SSH访问 备份VPS，具有所有最新的服务器设置，只需要最新版本的代码推送和数据库设置迁移（现在用作testing服务器，但也设想为georedundancy选项） 我想我的问题可能可以归结为我应该采取什么其他步骤来locking我的服务器，以及防止DDoS？ 我们很乐意使用Cloudflare业务，提供DDoS防护，但我们并不总是需要它，每个月200美元对于组织来说有点陡峭。 我甚至需要这个吗？ 是否有解决scheme，允许临时DDoS保护？ 如果不是，在攻击期间/之后维持稳定的最好方法是什么？ 最后，应该执行什么样的日志logging，以便在发生攻击时协助执法工作？
最近我有很多小规模的DoS攻击。 我想知道什么iptables规则应该用来对付最常见的DoS攻击，并且通常保护我的web服务器。 Web服务器运动Varnish – > nginx / php5 – > memcached – > mysql 我尝试了一些普通的收据，但他们也阻止访问我的数据库服务器位于远程服务器，所以我只是刷新build议的规则，现在感觉有点勉强，当我在iptables上只看到fail2ban volnurable。 所以感谢你的规则，阻止最常见的攻击媒介。
过去几周我一直在DDOS攻击下。 现在看来我的服务器networking正在被洪水淹没，直到它再也没有空间来接收和发送正常的包了。 我运行CENTOS 5.6，并且我已经强化了SYSCTL和iptables以尽可能地消除SYN攻击。 我有一个100Mbit的网卡和连接到我的托pipe公司。 正常传入stream量大约8mbit / s。 攻击事件发生时，数据尖峰高达100mbit。 如果我将服务器升级到1GBPS网卡+networking连接，它可以帮助我抵御攻击吗？ 我希望pipe道受到攻击时不会淹没这么快。