security - servicio - syn flood
¿Mejores prácticas para detectar ataques DOS(denegación de servicio)? (3)
Esta es una técnica que encontré muy útil ...
Evite los ataques de denegación de servicio (DOS) en su aplicación web
Estoy buscando las mejores prácticas para detectar y prevenir DOS en la implementación del servicio (no en la supervisión de red externa). El servicio maneja consultas para información de usuarios, grupos y atributos.
¿Cuál es tu fuente de información favorita para tratar con DOS?
Mi primer intento de resolver la vulnerabilidad DoS utilizó el enfoque sugerido por Gulzar, que básicamente es limitar el número de llamadas permitidas desde la misma dirección IP. Creo que es un buen enfoque, pero, desafortunadamente, causó que mi código fallara una prueba de rendimiento.
Como no pude hacer que el grupo de pruebas de rendimiento cambiara su prueba (un problema político, no técnico), cambié para limitar el número de llamadas permitidas durante un intervalo configurable. Hice la cantidad máxima de llamadas y el intervalo de tiempo configurable. También permití establecer un valor de 0 o un número negativo que deshabilita los límites.
El código que debía protegerse se usa internamente en varios productos. Por lo tanto, hice que cada grupo de productos ejecutara sus series de QA y pruebas de rendimiento, y se obtuvieron los valores predeterminados que eran lo más pequeños posibles para limitar un verdadero ataque DoS, pero que aún pasaron todas las pruebas.
FWIW, el intervalo de tiempo fue de 30 segundos y el número máximo de llamadas fue de 100. Este no es un enfoque completamente satisfactorio, pero es simple y práctico y fue aprobado por el equipo de seguridad corporativo (otra consideración política).
Haga lo que haga contra ataques DoS, piense si lo que hace puede aumentar la carga requerida para manejar solicitudes maliciosas o no deseadas.
Si está utilizando Linux, entonces debe leer este artículo:
La secuencia de comandos de prevención de ataques DoS basados en reglas (de Linux Gazette) tiene los siguientes temas:
- Cómo detectar ataques DoS desde / var / log / secure file
- Cómo reducir las direcciones IP detectadas redundantes del archivo temporal
- Cómo activar / sbin / iptables
- Cómo instalar el script de shell propuesto
Aplicar esto sin restringir adecuadamente el número de IP bloqueadas en iptables puede introducir una vulnerabilidad de DoS al aumentar los recursos requeridos para generar solicitudes no solicitadas. Para reducir ese riesgo use ipset para que coincida con las direcciones IP en iptables.
Además, lea sobre la prevención de ataques del diccionario ssh usando iptables . (Permitir iptables con cortafuegos con estado como se sugiere aquí no protege contra la mayoría de los DoS-Attacks, pero en realidad puede aliviar los DoS-Attacks que contaminan su RAM con información de estado inútil).
¿Nuevo en Linux? lea la hoja de ruta de Windows a Linux: Parte 5. Registro de Linux de IBM.
¡Buena suerte!