Чем и как фильтровать логи при Ddos?

По поводу, собственно, вопроса. Можно примерно вот такой конструкцией:

tail -n 10000 access.log | awk '{print $1}'| sort | uniq -c | sort -n -r | head -n 15 | awk '{printf("%s: %s | ",$1,$2); system("host "$2)}'

Найти самые "активные" IP. Для лога Nginx. "-n 10000" - сколько последних строк лога анализировать. "n -15" - сколько выдавать топчик IP. Я добавил в команду еще определение имени по IP для облегчения анализа.

Далее блочим неугодных:

iptables -I INPUT -s {IP} -j DROP

Метод применим, если DDOSят HTTP-запросами и не очень большими сетями. Для Nginx также рекомендую настроить limit_req_zone.

Простите, не понимаю, а зачем парсить логи?

В моём понимании надо при атаке первым делом выключить логирование и начать на уровне модулей nginx фильтровать атаку, канал у вас я так понимаю не забивается, а просто CPU загружается бекендом

Делал похожую штуку под IPFW. Работало, отбивало, пока не забился канал.

Maxim-KL, Можем зафильтровать вашу атаку без последствий для ПС, обращайтесь в онлайн чат на ddosov.net, работаем уже лет 8:)