DDoS. Неужели мы настолько беспомощны? [дубликат]

Здесь существует подобный вопрос:

Проблема с этим вопросом состоит в том, что он просит решение существенно unsolveable проблемы. Нет никакого инструмента или практики, которую можно принять, который собирается защитить Вас от умеренно компетентного взломщика, который полон решимости удалить Ваш сервис.

mod_evasive является почти столь хорошим решением, как Вы собираетесь добраться до этой проблемы в ближайшей перспективе. Это реализует регулировку "лучших практик" запросов и будет препятствовать тому, чтобы Ваша система была удалена 5 сценариями Perl строки.

В долгосрочной перспективе, когда Ваше приложение становится успешным, Вы будете неизбежно волновать развертывание подсистемы балансировки нагрузки перед ним. Основные коммерческие подсистемы балансировки нагрузки (как большой IP F5) вся реализация "регулировка" защиты DOS, таким образом, можно включить ту функцию, когда Вы обновляете. Но не обновляйте только для получения той функции.

Проблема с решением современных DDos-атак состоит в том, что они запускаются от многочисленных несвязанных неточек (часто из огромных ботнетов). Брандмауэры веб-приложения как Citrix/NetScaler, Imperva и F5 сделают достойное задание с консервированными нападениями, но квалифицированные аналитики (предпочтительно от Вашей собственной команды) собираются быть необходимыми для остановки "настоящих" взломщиков, которые знают имя; Вы делаете то задание путем анализа трафика атаки, нахождения характеристик в нем конкретными взломщику и фильтрации его.

Я думаю, что Вы на правильном пути со свободной обороноспособностью "Plug and Play" для этого, особенно с новым приложением.

@tqbf

Перейдите к Exchange Стопки Безопасности IT-систем для хорошей дискуссии об этом и допустимых способах сделать это. Существуют партнеры по смягчению DDoS-атак, которые очень хороши в этом - я запустил тесты для проверки один для международного банка и смягчения DDoS-атак, включенного в течение секунд после открытия нападения, и это позволило Обычный бизнес в течение всего нападения, которое мы выполнили при высокой загрузке. Ответ, который дает David, точно, как он работал в том экземпляре.

Они. Вещью о DDoS является свое питание, обратно пропорционально стратегиям доступности и дублирования защитника. Основная проблема не состоит в том, что DDoS не может быть смягчен; это - так большая часть сети, полагается на централизованную архитектуру, плохое дублирование и каскадные единые точки отказа.

Исходные протоколы Интернета были разработаны с доступностью и дублированием в памяти, обеспечив намного больше отказоустойчивости за счет доверия или синхронизации. Посмотрите на то, как DNS, BGP, SMTP, и NNTP были первоначально разработаны для идеальных иллюстраций.

Пятясь к сети, основные проблемы с DDos-атаками гарантируют, что DNS остается доступным под большой нагрузкой, гарантируя, что дублирование сервера достаточно для обработки напряжения в пиковой мощности, и гарантирующий, что конкретные соединения не могут взять непропорционально большое количество системных ресурсов относительно других.

Смягчение таким образом становится вопросом перенаправления или помещения в черный список трафика, распространяя влияние по как можно большему количеству аппаратных средств, обеспечивая непрограммные зеркала и другие сервисные механизмы обеспечения относительно Вашего пользовательского сообщества. Большая часть этого включается в понятие высоконадежных услуг и моделирования угроз для любого заинтересованного полем.

Я буду рядом с указанием, что еще больше ответов существует на Отказе сервера для любого заинтересованного перспективой IT этой проблемы.

Да, DDoS является, вероятно, самой мощной атакой перебором. Вы ничего не можете действительно делать с этим, поскольку любой сервер повредится в какой-то момент. Можно попытаться обойти его, предоставить различные услуги с различных серверов, таким образом только будучи частично пораженным. Одной из основных проблем с DDoS является первый "D": Распределенный. Почти во всех случаях используется огромный ботнет, таким образом, Вы не можете только обойти и запретить дюйм/с, поскольку это приведет к законным костюмерам, заблокированным из сервиса, поскольку ботнет использует настигшие компьютеры для достижения его повреждения.

Можно иметь дело с ним путем использования мер, как подсистемы балансировки нагрузки, брандмауэры и другие, но Вы никогда не будете мочь полностью предотвратить его.

Ответ вопроса зависит, сколько имеют взломщики ботнетов. Возможно, мы - часть той цепочки ботнета, кто знает. Вы думаете, что люди платят за программное обеспечение во всем мире? Вы должны, разыгрывая меня.. просто поиск любого программного обеспечения в потоках, независимо от того, что Вы загрузили, идет с руткитами, которые прячутся, даже при том, что используется большинство мощных антивирусных систем. Если руткиты используются, взломщики могут управлять компьютером жертв как ботом. Иногда Вам не нужны никакие руткиты, любое предварительно установленное программное обеспечение может сделать то же задание. Взломщики получают прибыль путем продажи им ботнета за различные цели (например, отправки сообщений со спамом).

Научное сообщество изобретает некоторые методы, чтобы остановить злонамеренное действие или предотвратить хосты, чтобы быть частью ботнета (перед фазой заражения), однако это - бесконечная гонка вооружений между хакерами и защитниками. Следует иметь в виду, Интернет является открытой системой, таким образом, еще нет конечного решения. Вероятно, никогда не будет, это - ответ исследования, никогда не останавливается.

Cisco имеет некоторые методы смягчения, проверьте здесь

Я сказал бы, что это - очень мощное нападение, если у Вас есть достаточно ботов, которые запрашивают сайт. Можно противостоять ему частично с выравниванием нагрузки, брандмауэром и другой обороноспособностью. Однако достаточно ботов также нанесет вред лучшей обороноспособности.

Основной вопрос, который, как я сказал бы, является, что 'DOS' всегда выполняется против названия DNS, не IP-адреса. Таким образом, если hoster соберется переключить серверы или такой, то название DNS будет под ударом даже под новым сервером, никаким Escape...