Защита вашего сервера от ддос

Около месяца назад на мой сайт была ддос атака, договорились с zexis (ТС), он поставил на сервер свою защиту. Заняло это, с настройкой, один вечер.

За сутки были забанены большинство ботов, нагрузка упала до нормальной.

Защита успешно работает вот уже больше месяца

Защита была установлена на 2 сайта с примерно одинаковыми посещениями.

На первом забанено ~14к ботов, на втором около 40 ip.

Процент очень маленький, особенно, с учетом того, сколько реальных посетителей СМОГЛИ зайти на сайт, невзирая на ддос.

Мой сервер до заказа у zexis защиты был 4 дня под ддосом и сапорт просто вырубали сервер. После того как zexis всё установил, настроил на сайт было пару атак, сервер даже не завис ни на секунду!

Настройка заняла несколько часов! После был предоставлен мануал по работе с защитой!

+ zexis не просто установил и ушёл, а активно отвечает на любые вопросы связанные с сервером и т.д.

Заказом очень доволен! Огромное спасибо!

Наверное, за такую работу/сервис надо брать некую арендную плату

ТС очень отзывчивый и терпеливый человек, помог с защитой от постоянных ддос на один мой сайт. Рекомендую для сотрудничества.

zexis, большое спасибо, что помогли настроить защиту от ддос атак. теперь сайт прекрасно рабтает и функционирует!

СПАСИБО!

Не так давно попал в щекотливую ситуацию. На посетителей моего сайта обиделись посетители другого сайта и решили, что им ничего не остаётся, как ддосить мой сайт, к тому же это было их любимым занятием, поэтому ждать скорого завершения атаки не стоило. Но самое страшное оказалось в том, что хостер, у которого я арендовал сервер последние 3 месяца, оказывается, не включает в понятие "поддержка" защиту от DDOS и рекомендует обратиться за помощью к компаниям, которые фильтруют траффик, дабы ддос до нас и не доходил. Компании эти представлены в том числе и на серчах и суммы месячного обслуживания начинаются от 10000 рублей, что, мягко говоря, поставило бы сам проект на грань рентабильности.

И вот когда казалось, что от ддоса нет спасения, я случайно увидел это объявление!

Я просто дал пароль и буквально через час сайт уже работал и всё, что могли ддосеры - это пытаться забивать канал, но было видно, что ряды их поубавились, а через какое-то время они совсем пали духом и ушли ддосить другие сайты.

После процедуры настройки системы защиты я получил очень симпатичный и подробный файл инструкций, надо признать, что он написан очень понятно, учитывая, что инструкции там затрагивают unix команды.

Кроме того, автор топика неоднократно отвечал на вопросы, не имеющие прямого отношения к защите от ddos, а также помогал с настройками.

На данный момент я приобрёл хорошего и полезного знакомого, который действительно интересуется тем, что делает, а это самое главное! А сама система продолжает работать, мониторя состояние на сайте и баня атакующие ip 😎

Не могу достучаться до вас. Отписал в аську несколько раз - pups.

На каком языке Ваш анализатор написан?

Анализатор логов написан на С.

Однопоточное приложение. Использует одно ядро процессора при работе.

Запускается раз в минуту по крону.

Считывает N последних строк из файла access.log вебсервера.

На сервере с процессором i7-920

10 000 строк лог файла access.log анализируются около одной секунды.

Количество строк N, которое считывается из файла access.log, вычисляется самой программой в зависимости от текущего количества кликов в минуту, так что бы анализировалось около 3-5 последних минут лога.

В настройках анализатора задается множество различных лимитов.

На файлы каждого типа можно задать свои лимиты.

Например на файлы PHP лимиты ниже чем на графические файлы.

1) количество запросов с одного IP к одной и той же странице за определенный период времени.

2) количество запросов с одного IP к разным страницам за определенный период времени.

3) Обнаруживается, если посещаемость нескольких страниц сайта превысит некоторый лимит и находятся IP которые ходят лишь по этим страницам.

4) Обнаруживаются если какие то юзерагенты или реферреры используются группой IP адресов более заданного лимита, для этих IP применяются более жесткие лимиты.

5) что бы уменьшить количество ложных срабатываний, алгоритмы анализа начинают работать лишь при ддос атаке. Начало ддос атаки обнаруживается по превышению суммарного количества запросов в минуту некоторого порога.

6) на случай высокоинтеллектуального ддоса, когда посещаемость выше лимита, но не один IP лимитов не превышает (так как атакующих очень много), предусмотрен бан всех, кто зашел в пик атаки. Правда этот метод еще не разу не применялся, так как не было пока на моем опыте ддосов, когда IP ботов не удалось обнаружить.

7) Анализируется список коннектов к серверу команды netstat. На количество коннектов в каждом состоянии с одного IP задается лимит. Анализ netstat происходит лишь при ддос атаке (момент ддос атаки определяется по превышению суммарного количества коннектов некоторого порога)

Обнаруженные IP ботов программа заносит в фаервол на некоторый период времени.

На сегодняшний день программа мной хорошо протестирована и отлажена.

Программа сейчас работает на 15 серверах и успешно справляется с атаками с минимальными ложными срабатываниями.

В том случае, когда программа используется для защиты от ддос одного сайта, то защита получается довольно эффективной.

Боты банятся быстро с минимальным количеством ложных срабатываний.

Это достигается тем что можно довольно точно задать лимиты для конкретного сайта и порог на количество кликов в минуту при котором нужно начинать банить ботов.

Были несколько попыток установить эту программу защиты на сервера виртуального хостинга. Анализировался суммарный лог access.log всех сайтов виртуального хостинга

В этом случае эффективность работы программы хуже. Увеличивается процент ложных срабатываний и уменьшается точность определения ддос ботов.

Так как не возможно задать порог на суммарное количество запросов начиная с которого включать алгоритмы анализа, так как сайтов много и их посещаемость разная, все лимиты приходится увеличивать что негативно сказывается на эффективности определения ботов.

Выходом из этой ситуации является отдельный анализ логов каждого сайта на виртуальном хостинге, но в этом случае увеличивается время на установку и настройку программы.

если идет обращение ко всем документам сайта html, php, jpg, js, css, gif и т.п. (т.е. по всем найденным url) (по одному обращению) с одного IP потоков в 100 - это то же расценивается как атака? :)