Onderwerp: ddos op apache

Vannacht heeft een server van een klant een ddos moeten ondergaan met als gevolg dat die vanmorgen plat lag.

Ik heb alle mogelijke log files nagekeken en ben uitgekomen op de access log van één van de gehoste domeinen. Die staat vol met altijd hetzelfde:

216.6.210.1 - - [04/Nov/2008:22:05:48 +0100] "GET / HTTP/1.1" 200 3937 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3"

Komende van verschillende IP's, allemaal US. De attack begon gisterenavond om half 8 en eindigde vannacht om half 4. Toen zat z'n swap ook vol en was het afgelopen. Gedurende die periode zie ik via snmp ook dat de inboud trafic opeens enorm gestegen. Zo heb ik in feite de periode kunnen vaststellen en in de logs kunnen gaan zoeken.

Ondertussen heb ik al mod_evasive geïnstalleerd. Maar als ik het goed begrijp reageert die enkel op attacks die een grote hoeveelheid requests sturen per seconde?
Het probleem met deze attack was dat er gemiddeld maar 1 request per seconde binnen kwam waardoor ik twijfel of mod_evasive wel getriggerd gaat worden.

Wat kan er voor de rest nog gedaan worden of waar kan ik nog naar kijken?

mod_limitipconn word bij ons gebruikt.

Ik heb het vandaag zitten. Bij mij komen ze van Madrid, Spanje. Aan de grafieken van het netwerkverbruik zag ik dat iets niet juist zat. Voorlopig heb ik de beruchte IP's maar in mijn firewall gezet.

Nog een kleine update.
Ik heb mod_evasive en mod_security geïnstalleerd en wat getweaked.

De attack kwam maar van 2 IP's in feite. Heb abuse mailtjes gestuurd en de ene vroeg achter logs en sinds niet meer van gehoord. De andere heeft het wel heel serieus opgenomen en z'n server off gehaald. Was -as usual- een gehackte bak.
Voor de rest geen problemen meer gehad

Oorspronkelijk geplaatst door Kveldulv

Wat kan er voor de rest nog gedaan worden of waar kan ik nog naar kijken?

Je zou eens kunnen kijken naar het gebruik van nginx als reverse proxy. Met nginx kun je per connectie aangeven hoeveel resources er bijvoorbeeld gebruikt mogen worden.

Om de impact op bandbreedte verder te beperken kun je natuurlijk nog mod_deflate gebruiken.

Of even globaal met iptables beveiligen? dan zitten al je services 'veilig'...