LinuxシステムのCC攻撃を防ぐ方法

このような状況に遭遇したことがありますか、サーバーは正常に稼働しています、Webサイトにアクセスするユーザー数は正常ですが、ページは非常に行き詰まっています以下は、LinuxがどのようにCC攻撃を防ぐことができるかを示すための、Linuxシステムの小シリーズです。

何されるCCの攻撃

CCの攻撃は単純です（ChallengeCollapsar）

原則CC攻撃いくつかのホストの攻撃者の制御は、常にデータパケットを大量に送信されますクラッシュが発生するまで、他のサーバーのサーバーリソースを使い果たします。 CCは主にページの攻撃に使用され、Webページに多数のユーザーがアクセスしている場合はWebページが遅くなりますCCは複数のユーザーをシミュレートすることです（ユーザーのスレッド数）。大量のデータ操作を必要とするページにアクセスすると（つまり、多くのCPU時間を必要とすると）、サーバーリソースが無駄になり、CPUが100％長時間使用され、ネットワークが混雑するまで処理できない接続が常に存在し、通常のアクセスは中止されます。

CC攻撃方法の防止

このCC攻撃を防止する方法は2つあります。

1つ目は、このマシンのファイアウォールを使用してCSF内にインストールできるファイアウォールを解決することです。欠点は、小規模のCC攻撃とDDOSしか防ぐことができないことです（私はAlibaba Cloudにいるので、DDOSについてあまり心配しないでください）CC攻撃が激しい場合、マシンは直接CUPも実行します。

2つ目の方法はCDNを追加することですCC攻撃を防ぐこの方法が最善ですが、CDNは一般的にお金を必要とします。

さて、具体的な保護について説明しましょう。

最初にCSFファイアウォールをインストールします。これは比較的簡単で、ドメイン名を変更する必要はありません。小規模は直接解決されます。

まず、依存関係パッケージをインストールします。

yum install perl-libwww-perl perl iptables

次に、CSFをダウンロードしてインストールします。

wget http：//www.configserver.com/free/csf.tgz

tar -xzf csf.tgz

cd csf

sh install.sh

CSFが機能するかどうかをテストします。

[root @ localhost csf]＃perl /etc/csf/csftest.pl

ip_tables /iptable_filterをテストします。 .OK

ipt_LOGをテストする。 .OK

ipt_multiport /xt_multiportのテスト.OK

ipt_REJECTをテストしています。 .OK

ipt_state /xt_stateをテストする。 .OK

ipt_limit /xt_limitをテストする。 .OK

ipt_recentをテストする。 .OK

xt_connlimitをテストする。 .OK

ipt_owner /xt_ownerをテストする。 .OK

iptable_nat /ipt_REDIRECTをテストする。 .OK

iptable_nat /ipt_DNATをテストする。 .OK

結果：csfはこのサーバー上で機能します。

4番目に、csf設定：

CSF設定ファイルは

vim /etc /csfです。 /csf.conf

＃着信TCPポートを許可する

＃SSHのデフォルトポート（22）を別のポートに変更することをお勧めしますが、必ず新しいポートを次の行に追加してください。

TCP_IN ='20,21,47,81,1723,25,53,80,110,143,443,465,587,993,995〃

＃送信TCPを許可するポートは上記と同じで、SSHログインポートが次の行に追加されています。

＃Pureftpdのパッシブモードのように、ある範囲のポートを開く必要があるプログラムでは、30000：35000のようなモードを使って30000-35000の範囲のポートを開くことができます。

TCP_OUT =<;20,21,47,81,1723,25,53,80,110,113,443〃

＃着信UDPポートを許可する

UDP_IN ='20,21,53〃

＃発信UDPポートを許可する

＃発信tracerouteを許可するには、このリストに33434：33523を追加します。

UDP_OUT =' 20、 21,53,113,123〃

＃着信PINGを許可他の人があなたのサーバーに対してpingを実行できるようにするかどうか、デフォルトは1です。 0は許可されていません。

ICMP_IN ='1〃

これらの設定は一目でわかります。一般的に使用されているものをいくつか紹介します：
Previous12次へ合計2ページ