Jemand führt einen DOS-Angriff auf meinen Server aus. Es handelt sich nicht um einen DDOS-Angriff, da nur ein Server an diesem Angriff beteiligt ist. Ich habe einfach die folgende iptable-Regel angewendet, um alle Pakete des Angreifers zu löschen:
iptables -I INPUT 1 -s IP_OF_ATTACKER -j DROP
Diese Regel funktionierte einwandfrei. Ich konnte seinen Datenverkehr auf meinem Server mit dem Befehl iftop sehen. Alle meine Dienste liefen jedoch auch während des DOS-Angriffs reibungslos. Er hat meinen Server 2-3 Tage lang mit DOS-Angriffen belegt, aber die iptables-Regeln funktionierten hervorragend und ließen seine Pakete fallen. Heute hat er seinen DOS-Angriff jedoch erneut mit derselben Bandbreite ausgeführt, aber mein Server war tot. Ich habe Pakete erfasst/analysiert, aber iptables hat alle Pakete erfolgreich verworfen.
Ich habe außerdem den folgenden Befehl ausgeführt, um zu sehen, wie viel Datenverkehr durch IP-Tabellen blockiert wurde:
iptables -nvL --line-numbers
Der 22G-Verkehr war 2–3 Tage lang blockiert:
num pkts bytes target prot opt in out source destination
1 3203K 22G DROP all -- * * ATTACKER_IP 0.0.0.0/0
Es wurden nur 3 GB Datenverkehr blockiert. Allerdings hat er unseren Server den ganzen Tag lang mit DOS belegt und es gab (meiner Meinung nach) mehr als 100 GB Datenverkehr.
num pkts bytes target prot opt in out source destination
1 707K 3553M DROP all -- * * ATTACKER_IP 0.0.0.0/0
Warum war der Server immer noch down? Was könnte geändert worden sein? Gibt es andere Regeln oder Schutzmaßnahmen, die ich ergreifen kann, um ihn aufzuhalten? Ich habe seine IPs bereits dem Hosting-Unternehmen gemeldet, aber sie brauchen 7-8 Tage, um seine Server zu untersuchen und abzuschalten.
Antwort1
Eine hostbasierte Firewall kann Ihre Dienste möglicherweise schützen, der schädliche Datenverkehr muss jedoch dennoch an Ihren Host übermittelt werden, bevor er gelöscht werden kann.
Ihr Uplink ist immer noch eine begrenzte Ressource und wenn die Menge an Müll zunimmt, die Ihr Angreifer sendet, steigt auch das Risiko einer nachteiligen Auswirkung auf den legitimen Datenverkehr. Sie sollten sich an Ihren Hosting-Anbieter wenden, wenn er Sie unterstützen kann (möglicherweise am Rand seines Netzwerks).