☰

Mod_evasive не блокирует DOS-атаку с использованием HEAD-запросов

tag-icon • tag-icon apache-2.2 ddos rhel6 denial-of-service
Mod_evasive не блокирует DOS-атаку с использованием HEAD-запросов

Использование Apache/2.2.15 на RHEL6 с конфигурацией mod_evasive:

DOSHashTableSize    3097
DOSPageCount        14
DOSPageInterval     2
DOSSiteCount        70
DOSSiteInterval     1
DOSBlockingPeriod   60

К сожалению, он не заблокировал эту атаку, которая исходила только с одного IP-адреса:

207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:53 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:53 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:53 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"
207.xxx.xxx.xxx - - [14/Jun/2015:06:06:54 +0400] "HEAD / HTTP/1.1" 200 - "-" "some fake user agent"

Mod_evasive работает, в других случаях блокирует некоторые IP. Для HEAD-запросов не работает?

EDIT: Мой apache работает в режиме prefork. Из того, что я читал, у mod_evasive с этим проблемы.

решение1

Измените переменную на что-то меньшее, 14 — это действительно много.

DOSPageCount 3

Поскольку атака исходит из одного и того же места, вы можете забанить IP-адрес.

sudo iptables -t raw -I PREROUTING -s 207.x.x.x/32 -j DROP

Или вы можете установить mod_security, настроить его и добавить «какой-нибудь поддельный пользовательский агент» в файл bad_robots.data, и он будет встречен ошибкой 401 «Запрещено».

ПРИМЕЧАНИЕ

DDoS-атаки предназначены для потребления полосы пропускания и ресурсов. Вы можете забанить IP-адрес, заблокировать их с помощью mod_evasive или отклонить их запросы с помощью 401. НИ ОДИН ИЗ ЭТИХ МЕТОДОВ НЕ ОСТАНОВИТ DDoS. DDoS продолжит потреблять всю вашу полосу пропускания, по-прежнему оставляя ваше устройство в автономном режиме. Лучший способ — связаться с вашим интернет-провайдером и попросить его заблокировать нарушающие IP-адреса или связаться со службой смягчения DDoS-атак, такой как cloudflare. Ничто другое не остановит DDoS.

Если вы постоянно подвергаетесь DDoS-атакам, воспользуйтесь услугой по смягчению последствий DDoS-атак.НИ ОДИН из перечисленных выше методов не остановит DDoS-атаку.

Связанный контент