Борьба с DDos

babiy, barf.pl в этом топике вас на мысли ещё не навёл? Оптимизация его под анализ всех логов сервера в автоматическом режиме делается элементарно. Ну, а чтобы он автоматически отслеживал разные запросы и разных юзер-агентов - придется немного потрудиться, но тоже всё делается... :)

Raistlin добавил 10.10.2011 в 12:53

P.S. 5 тысяч в час это ещё не много... У вас же 1200 за ночь - видимо, совсем не ботнет побанило.

та нет это был ботнет но как я понимаю (может и ошибаюсь) большинство из апи адресов делали по 700-2000 запросов, ну а то что загрубил лимит коннектов то конечно же помучал немного клиентов, то что атака была подтвердило письмо с ДЦ

да атака не большая, но была, а на предмет Barfя конечно же буду его детально изучать и применять.

1460 pps - средняя нагрузка гигабитного канала. Чуть больше гигабита. Дефлейт не помогает от такого, здесь нужно бороться другими средствами.

Мы ещё молоды и зелены))) и для нас 1460 pps повышенный показатель, ну а то что работать нужно рационально а не фатально это конечно же Вы правы.

Что такое сигнатура бота?

Правильно ли я понял, что сигнатура бота это его юзерагент, реферрер, адрес страницы к которой идет запрос?

zexis, Да, правильно.

Поставить жаба-скрипт на проблемные странички который стучится обратно на сервер и говорит "это легитимный IP, его в белый список"

Боты жаба-скрипт не выполняют

Вы серьезно заблуждаетесь. Далеко не все.

Способ идентификации жаба-скриптом не плохой, но имеет недостатки.

1) Нужно модифицировать HTML код сайта, что не всегда возможно.

2) Примерно у 5% пользователей, жаба-скрипт отключен. Так что их забанит такая защита.

3) Если умных хакер посмотрит Java-скрипт и пустит ботов атаковать как раз ту страницу сайта к которой стучится жаба-скрипт заносящий ботов в белый список, то защита работать не будет. Можно попытаться придумать какой то алгоритм, который будет применять секретный ключ, рассчитываемый на основе IP клиента, что бы скрыть от хакера адрес страницы, которая заносит в белый список, но над этим алгоритмом нужно думать.

В большинстве случаев боты хорошо идентифицируются при анализе файла access.log.

Но для очень умных ботнетов и java скрипт может оказаться полезен.

Но использовать защиту на основе java скрипт нужно лишь как дополнительный рубеж защиты в дополнение к другим методам.

Согласен, но пока что, слава богу, это скорее редкость, чем повседневное явление

iopiop добавил 11.10.2011 в 12:51

Умные хацкеры пишут программы ддоса, которые используют глупые киддис :)

Решение простое на самом деле, вводить параметр который жаба-скрипт передает и проверять его на сервере. Ессно, этот параметр периодически менять надо будет