아무것도 켜지지 않습니다
버튼은 없습니다. 스크러빙은 모든 사이트 앞에서 영구적으로 실행되며, 작은 위치에서는 초당 4테라비트에서 가장 큰 위치에서는 12테라비트로, 패킷을 버리기로 한 결정은 들어오는 경로의 가장자리 하드웨어에서 이루어집니다. 따라서 공격의 처음 30초는 마지막 30초와 정확히 동일하게 필터링되며, 이는 공격을 탐지하고, 프리픽스를 리디렉션하고, 알림이 전파되기를 기다려야 하는 시스템에서는 사실이 아닙니다.
내부에서 보이는 것
보통 아무것도 보이지 않습니다. 반사된 UDP, SYN 플러드, 증폭된 DNS 응답 세트: 어떤 형태의 대용량 공격이든 업스트림에서 차단되어 포트에 도달하지 않습니다. 패널의 그래프가 이를 보여줍니다. 인터페이스 카운터는 그렇지 않습니다.
실제 트래픽과 구별할 수 없는 모든 것이 도달할 수 있습니다: 느린 HTTP 플러드, 가장 비용이 많이 드는 엔드포인트에 대한 요청 스트림, 자격 증명 채우기 실행. 레이어 7은 애플리케이션을 알지 못하면 엣지가 도울 수 없는 곳이며, 이는 DDoS Pro 애드온이 존재하는 이유입니다: 사용자 지정 서명, 경로별 속도 제한, 그리고 발생하는 동안 함께 작성할 사람.
결론을 내리기 전에 자신의 한계를 확인하십시오
우리에게 보고된 공격의 절반가량은 일반 월요일 트래픽에서 conntrack 테이블이 가득 차거나 수신 대기 큐가 넘치는 것입니다.
sysctl net.netfilter.nf_conntrack_count net.netfilter.nf_conntrack_max
nstat -az TcpExtListenOverflows TcpExtSyncookiesSent
ss -s
journalctl -k --since "15 min ago" | tail -50nf_conntrack: table full, dropping packet 커널 로그의 는 방화벽이 스스로에 대해 이야기하는 것이지 네트워크가 공격을 보고하는 것이 아닙니다.
우리가 하는 일
탐지는 흐름 기반이며 대상별로 이루어집니다. 서명 일치 시 일치하는 트래픽을 몇 초 내에 차단하고 나머지 트래픽은 그대로 둡니다. 사이트가 흡수할 수 있는 양을 초과하는 경우는 드물지만 발생한 경우, 사이트가 모든 사용자에게 저하되는 대신 대상 주소가 명시된 시간 동안 전체적으로 필터링됩니다. 시간을 명시한 이메일을 받게 되며, 분 단위로 측정됩니다.
공격 트래픽은 공정 사용에 계산되지 않습니다. 그것은 귀하의 트래픽이 아니며 귀하가 요청한 것도 아닙니다.
이후에 알려드릴 수 있는 것
벡터, 최대 비트 전송률, 최대 패킷 전송률, 지속 시간, 소스의 대략적인 지리적 위치. 흐름 카운터가 보유하는 것입니다.
패킷 캡처는 넘겨드릴 수 없습니다. 캡처가 없기 때문입니다. 우리는 인스턴스를 통과하는 트래픽을 기록하지 않으며, 이 정책에는 트래픽이 적대적으로 변할 때 스스로 켜지는 예외가 없습니다. 자세한 내용은 우리가 기록하는 것에 있습니다. 사람들은 때때로 인시던트 중에 이 점이 답답하다고 생각하지만, 이는 나머지 정책이 가치가 있게 만드는 것과 같은 속성입니다.
하지 말아야 할 것
- 주소를 변경하지 마십시오. 공격은 1분 안에 따라오며 이제 DNS도 잘못됩니다.
- 재부팅하지 마십시오. 재부팅 중인 인스턴스는 더 느린 인스턴스이지, 필터링된 인스턴스가 아닙니다.
- 당황해서 수천 줄의 nftables 규칙을 붙여넣지 마십시오. 인스턴스에서 버리는 모든 것은 이미 네트워크의 비용이 많이 드는 부분을 통과했습니다.
- 먼저 /status를 확인하십시오. 사이트 자체에 인시던트가 있으면 티켓을 작성하기 전에 거기에 게시됩니다.
그래도 티켓을 여십시오
인스턴스 ID, 시간대가 있는 타임스탬프, 실제 증상, 두 번째 네트워크에서 서비스에 연결할 수 있었는지 여부. 하루 중 모든 시간에 중앙 응답 시간은 11분이며, 라이브 이벤트 중에는 이미 그래프를 보고 있는 사람의 답변이 옵니다.