Hogyan védheti a VPS-t DDoS-támadások ellen

Egy elosztott szolgáltatásmegtagadási (DDoS) támadás addig árasztja el a szervert vagy annak hálózati kapcsolatát forgalommal, amíg az valódi látogatók elől el nem zárja. Egyes támadások túl nagyok ahhoz, hogy maga a szerver kezelje őket, ezért a védelem rétegekben működik a legjobban: először a hálózat szélén történő szűrés, majd a VPS tűzfal- és alkalmazásbeállításai. Az ONIE a felhőszervereket DDoS Shielddel védi Ho Si Minh-városban a hálózat szélén, külön díj nélkül, a DDoS-védelemmel ellátott VPS pedig néhány perc alatt telepíthető.

Támadástípusok

• Volumetrikus (3. és 4. réteg): csomagáradat, amely megtölti a hálózati kapcsolatot, például UDP-árvíz.
• Protokolltámadások: a kapcsolatkezelés visszaélése, például SYN-árvíz, amely megtölti a kapcsolattáblát.
• Alkalmazási réteg (7. réteg): sok, érvényesnek látszó HTTP-kérés, amely kimeríti a webszervert vagy az adatbázist.

Mindegyik típushoz más védelem kell. A volumetrikus forgalmat még azelőtt meg kell állítani, hogy eléri a szervert; az alkalmazásszintű árvizet viszont a szerveren is lehet csökkenteni.

1. Szűrés a hálózat szélén

A szélszűrés eldobja a rossz forgalmat, mielőtt az elérné a VPS-t, így a kapcsolat nem telítődik. A DDoS Shielddel a szűrés a hálózat szélén, XDP/eBPF technológiával fut, a konzol pedig IP-címenként mutatja a forgalmat és a támadási eseményeket. Kérdezze meg minden értékelt szolgáltatótól, mi van benne, hol történik a szűrés, és jár-e érte külön díj.

2. Zárja le, amit nem használ

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Ne tegye elérhetővé az internet számára az adatbázisokat vagy az adminfelületeket. Kösse őket a 127.0.0.1 címhez vagy egy privát hálózathoz.

3. SYN-árvízre hangolja a kernelt

A SYN cookie-k a legtöbb disztribúción alapértelmezetten be vannak kapcsolva. Ellenőrizze:

sysctl net.ipv4.tcp_syncookies

Tartsa kicsiben a többi kernelmódosítást, és tesztelje őket, mert a rossz értékek ronthatják a normál forgalmat.

4. Kérésszám-korlátozás Nginx-ben

A http blokkban:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

A server vagy location blokkban:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Töltse újra így: sudo nginx -t && sudo systemctl reload nginx. A statikus fájlokat gyorsítótárból szolgálja ki, WordPresszen pedig használjon gyorsítótárazó bővítményt, hogy csökkentse az egyes kérések költségét. Lásd: WordPress telepítése Nginx-szel.

5. Forgalom figyelése

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Az összeköttetések vagy a sávszélesség hirtelen ugrása, illetve a szerver lassulása alacsony CPU-használat mellett támadásra utalhat. Állítson be riasztásokat, hogy korán észrevegye.

6. Incidens-ellenőrzőlista

1. Erősítse meg a konzolban, hogy a forgalom támadás-e, vagy valódi forgalomnövekedés.
2. Ellenőrizze a támadási eseményeket és a támadott IP-címet.
3. Blokkolja a visszaélő forrás-címeket vagy -tartományokat, amelyeket azonosítani tud.
4. Kapcsolja be a szigorúbb kérésszám-korlátozást vagy egy karbantartási oldalt.
5. Forduljon a szolgáltató támogatásához az időponttal és az IP-címmel.
6. Utólag tekintse át a naplókat, és frissítse ezt a tervet. Tartsa naprakészen a biztonsági mentéseket és pillanatképeket.