Теория защиты от DDoS

наврятли кто то тут выложит методы определения, есть довольно таки хитрые.

http ботиков найти чаще всего не проблема ибо пользователи ботнетов настолько тупые что иногда не могут даже атаку нормаольно настроить, про создателей молчу.

думайте сами :)

Мои размышления завели меня в тупик, в противном случае я бы не создал эту тема, не так ли?)

Все будут в бане, если nginx стоит сразу же.

Потом пологам можно посмотреть кто больше всего долбит.

Приличная у них стоимость :)

эмитирование поведения реальных пользователей не даст желаемой атаки.

методов фильтрования существует огромное количество и вам их не расскажут, так как наработаны они годами.

Определит с каких IP идет атака и заблокирует их на сервере

Пожалуйста

Теория очень проста : все нетипичные для сайта запросы должны быть забанены. А практика - это уже ноу-хау.

С атаками сталкиваюсь каждую неделю.

Отличить запросы ддос ботов от пользователей не сложно.

Пока хватает ресурсов сервера (канала, процессора) атака отбивается.

Простейшие методы обнаружения ботов это

1) банить тех, кто шлет много запросов и делает много одновременных коннектов. (в 3-4 раза больше среднего пользователя)

2) Ставить хитрым джаваскриптом куки и банить при начале атаки, тех кто не возвращает куки.

3) Можно делать проверки, что пользователь запрашивает статические файлы на каждой странице.

4) В крайнем случае, если отличить ботов от людей никак не удается, можно вообще забанить все IP кто был в момент максимальной нагрузки. хотя этот метод мне применять пока не разу не приходилось.

Если опасаетесь интелектупльных ботов. Которые очень хорошо маскируются под пользователей, можно сделать индивидуальную систему обнаружения ботов под конкретный сайт.

Например.

1) вести белый список IP пользователей, в который добавляются IP зарегистрированных пользователей. То есть IP их белого списка скорее всего не боты и разрешать им больше кликать.

2) Сделать на сайте невидимые для пользователя ссылки, зайти на которые могут только боты и их банить.

3) Составить для каждой страницы список статических файлов и проверять. Что бы они загружались после захода на страницу. Тех кто не загружают статику проверить более внимательно.

Повторюсь. Интеллектуальный ддос бот это редкость.

Чаще всего долбят простым HTTP флудом, который обнаруживается элементарно.

в каком-то новом боте есть запуск браузера на сайт в скрытом окне, в результате чего даже в активном режиме это проходит все проверки. далее через какую-то паузу идет тупой хттп флуд уже с ботика. очень креативная фишка. гарантированно пробивает практически все сервисы с ддос защитой, потому как такой подлянки мало кто ожидал.

самый ржачь, что если эту фишку встроят в остальные ддос-боты, то большей части сервисов придется максимально туго... в т.ч. и ряду железок для ддос защиты.

Добавлю от себя пару:

1. Фильтр по странам (можно запросто заблочить, временно, доступ для Китая.)

2. Фильтр по User-agent (совсем недавно отбывал атаку школьника с 40 ботами, у всех ботов был user-agent America Online Browser :))

Все поисковые, а также сапы, трастлинки и прочие валидные роботы будут в бане.

Бот всё-равно отсеивается по количеству запросов.

Если у вас будет 1-2 запроса в секунду с каждого хоста, то вопрос в другом, сможет ли ваш компьютер и канал обеспечить генерацию заголовков и единовременное соединение с этими проксями?

Такая атака хорошо блочиться вышеприведенными способами через обработку javascript или через загрузку статики.

Вот ещё что, не все прокси анонимны, ваш IP через $_SERVER['HTTP_CLIENT_IP'] и $_SERVER['HTTP_X_FORWARDED_FOR'] идёт прямо на атакуемый сервер.

я таких ботов PC не боюсь их нужно дохера что бы навредить, другое дело когда будет полная имитация браузера и более реалистичное хождение по сайту.

думаю не скоро еще появятся качественные ботнеты массово у ддосеров, сейчас ботнеты простановку cookie не проходят толком.

---------- Добавлено 19.09.2012 в 21:44 ----------

1. по мне лучше для всей азии отдавать localhost на уровне днс :)

2. тоже лучше на уровне netfilter резать "America Online Browser", еще могу подсказать - можно отслеживать как он часто меняется для 1 ip, норм люди не меняют браузер быстро и часто(((

---------- Добавлено 19.09.2012 в 21:49 ----------

ну так можно вайт лист сделать и доп проверку до бана или после утилитой host, поисковики точно всплывут.

---------- Добавлено 19.09.2012 в 21:51 ----------

не реал тайм что уже плохо, только для небольших ботнетов.