Onderwerp: Server "under" attack

Op dit moment wordt mijn server weer redelijk bestookt waardoor de load de lucht in schiet en de server niet meer reageer.
Dit is avondje 2, als ik in DirectAdmin kijk zie ik een enorme berg httpd requests, met op dit moment een mem usage van 42.94 GB
Nu heb ik in ConfigServer Firewall&Security de setting CONNLIMIT al op: 80;30 gezet maar geen verschil of afname (na reboot server)
Hoe kan ik een lijst maken van IP adressen die op dit moment veel de server bereiken?

Wat voor data is het precies dat je binnen krijgt? Wat voor een aanval? Iets als SYN, of?

De apache server-status vertelt je vaak ook heel veel als het om http requests gaat.

Het probleem wat je denk ik ervaart is dat er heel veel brute force gedaan wordt op o.a. Wordpress sites. Vanaf verschillende servers gaan er 100 tot 300 requests per seconde naar de betreffende site en je server heeft te weinig geheugen en processorkracht om al deze requests snel genoeg te verwerken. De firewall op je server (CSF) blokkeert het wel, maar op dat moment worden de requests al door Apache/MySQL verwerkt en vreten die al je geheugen op.

De load stijgt hierdoor inderdaad enorm, omdat al die requests verwerkt worden. Soms zie je ook dat de MySQL-server er ook helemaal mee stopt op een gegeven moment. De IP-adressen blokkeren is doorgaans niet de oplossing, ze gebruiken iedere keer weer andere PC's of servers uit een botnet.

Ik zou je adviseren te kijken naar CloudFlare of een andere partij die een Web Application Firewall levert (WAF). Een caching laag ervoor helpt naar mijn idee ook heel goed (ik zou wel even de wp-admin afschermen). Als laatste is ook nog belangrijk dat de Wordpress sites up to date zijn, dat scheelt ook al een hoop.

kies idd voor cloudflare/sucuri WAF of zet er zelf een proxy voor die ook al op netwerklevel aanvallen op bv wp-login en xmlrpc detecteert en throttled of blokkeert

Bepaalde aanvallen kun je ook simpel en veilig in Apache afvangen. Zolang het niet bij php/mysql komt is de belasting per request al een stuk lager.

Een extra login voor wp-login.php kan de belasting met meer dan 90% laten afnemen is mijn ervaring.

Kijk even in de apache log(s) naar de laatste 1000 regels, dan weet je of er aanvallen plaats vinden en of dat vanuit verschillende ip-nummers is.

Verder kan het handig zijn om een dedicated server te overwegen (geen idee of je op een VPS draait, die kunnen veelal minder aan) als alternatief voor Cloudflare.

Oorspronkelijk geplaatst door antenna

Verder kan het handig zijn om een dedicated server te overwegen

want?

Er zijn een aantal snelle tips: niet te veel worker processen op laten starten (httpd config), wp-login alleen voor jezelf afschermen, wp-admin afschermen, xmlrpc afschermen. Ze proberen toch vooral die drie ingangen te misbruiken.

Alleen relevant indien het nu op een VPS draait. Een snelle dedicated server met veel geheugen kan meer aan dan de meeste VPS servers, wij hebben ondermeer 64Gb RAM SSD servers draaien die wel wat aan kunnen qua aanvallen (naast dan de anti-DDOS maatregelen van de verhuurder van servers). Een server met minder geheugen kan sneller een hoge load krijgen bij een aanval.

Oorspronkelijk geplaatst door antenna

Alleen relevant indien het nu op een VPS draait. Een snelle dedicated server met veel geheugen kan meer aan dan de meeste VPS servers, wij hebben ondermeer 64Gb RAM SSD servers draaien die wel wat aan kunnen qua aanvallen (naast dan de anti-DDOS maatregelen van de verhuurder van servers). Een server met minder geheugen kan sneller een hoge load krijgen bij een aanval.

Uhm, ik wil niet veel zeggen, maar dit is wel je reinste kolder, zou je dit even kunnen onderbouwen?

Zie bv verhaal Rackspace: ww.rackspace.nl/cloud-computing/vps-dedicated

Oorspronkelijk geplaatst door antenna

Zie bv verhaal Rackspace: ww.rackspace.nl/cloud-computing/vps-dedicated

Dat is een verkooppraatje, maar wat is de onderbouwing?

Oorspronkelijk geplaatst door phreak

Dat is een verkooppraatje, maar wat is de onderbouwing?

Plusje

"neem een dedi" slaat echt kant nog wal zonder onderbouwing

Oorspronkelijk geplaatst door Ramon Fincken

"neem een dedi" slaat echt kant nog wal zonder onderbouwing

Inderdaad, geef mij maar liever een vps bij een leverancier die proactief mee helpt met het oplossen en filtering doet langs zijn kant en de uplink providers, dan een dedicated server waar je zelf de shit mag oplossen .

Dat gezegd zijnde, heb je (de TS) al eens aangeklopt bij je uplink provider om te vragen of ze daar eventueel al niet wat firewall filtering voor je willen doen (eventueel tegen betaling), dan komt het ook niet meer toe op je server en neemt de belasting vanzelf al af.

Een andere kleine tip die iedereen heel vaak vergeet is dat een firwall zoals csf zelf ook mem en cpu zuipt, zeker als je de ip adressen gaat blokken in je filter rules (input chain) omdat daar al vooraf al heel wat zaken voor gebeuren. Als je die ip adressen al in de raw table (prerouting) blokt heb je heel veel minder belasting op je cpu en mem en in zo een geval kunnen alle kleine beetjes helpen (ik heb persoonlijk tot 1/3 minder resource verbruik gezien door deze methode toe te passen.)