NetStat: Tipps zum Erkennen von DDoS-Angriffen

Ich habe einen sehr interessanten Artikel in gefunden Linuxaria Informationen zum Erkennen, ob unser Server angegriffen wird DDoS (Verteilter Denial-of-Service)Oder was dasselbe ist, Denial-of-Services-Angriff.

Diese Art von Angriff ist weit verbreitet und kann der Grund dafür sein, dass unsere Server etwas langsam sind (obwohl dies auch ein Layer 8-Problem sein kann) und es niemals schadet, vorgewarnt zu werden. Dazu können Sie das Tool verwenden netstatHiermit können wir Netzwerkverbindungen, Routentabellen, Schnittstellenstatistiken und andere Dinge anzeigen.

NetStat-Beispiele

netstat -na

Dieser Bildschirm enthält alle aktiven Internetverbindungen auf dem Server und nur hergestellte Verbindungen.

netstat -an | grep: 80 | Sortieren

Zeigen Sie nur aktive Internetverbindungen zum Server an Port 80 an, der der http-Port ist, und sortieren Sie die Ergebnisse. Nützlich beim Erkennen einer einzelnen Flut (Flut), so dass viele Verbindungen von einer IP-Adresse erkannt werden können.

netstat -n -p | grep SYN_REC | wc -l

Dieser Befehl ist hilfreich, um zu wissen, wie viele aktive SYNC_RECs auf dem Server auftreten. Die Anzahl sollte ziemlich niedrig sein, vorzugsweise weniger als 5. Bei Denial-of-Service-Angriffen oder Postbomben kann die Anzahl recht hoch sein. Der Wert ist jedoch immer systemabhängig, sodass ein hoher Wert auf einem anderen Server normal sein kann.

netstat -n -p | grep SYN_REC | sortieren -u

Erstellen Sie eine Liste aller IP-Adressen der Beteiligten.

netstat -n -p | grep SYN_REC | awk '{print $ 5}' | awk -F: '{print $ 1}'

Listen Sie alle eindeutigen IP-Adressen des Knotens auf, der den Verbindungsstatus SYN_REC sendet.

netstat -ntu | awk '{print $ 5}' | cut -d: -f1 | sortieren | uniq -c | sort -n

Verwenden Sie den Befehl netstat, um die Anzahl der Verbindungen von jeder IP-Adresse, die Sie zum Server herstellen, zu berechnen und zu zählen.

netstat -anp | grep 'tcp | udp' | awk '{print $ 5}' | cut -d: -f1 | sortieren | uniq -c | sort -n

Anzahl der IP-Adressen, die über das TCP- oder UDP-Protokoll eine Verbindung zum Server herstellen.

netstat -ntu | grep ESTAB | awk '{print $ 5}' | cut -d: -f1 | sortieren | uniq -c | sort -nr

Überprüfen Sie die mit ESTABLISHED gekennzeichneten Verbindungen anstelle aller Verbindungen und zeigen Sie die Verbindungen für jede IP an.

netstat -plan | grep: 80 | awk {'print $ 5'} | cut -d: -f 1 | sort | uniq -c | sort -nk 1

Zeigt eine Liste der IP-Adressen und deren Anzahl der Verbindungen an, die eine Verbindung zu Port 80 auf dem Server herstellen. Port 80 wird hauptsächlich von HTTP für Webanforderungen verwendet.

So mildern Sie einen DOS-Angriff

Sobald Sie die IP gefunden haben, die der Server angreift, können Sie die folgenden Befehle verwenden, um die Verbindung zu Ihrem Server zu blockieren:

iptables -A INPUT 1 -s $ IPADRESS -j DROP / REJECT

Beachten Sie, dass Sie $ IPADRESS durch die IP-Adressen ersetzen müssen, die mit netstat gefunden wurden.

TÖTEN Sie nach dem Auslösen des obigen Befehls alle httpd-Verbindungen, um Ihr System zu bereinigen und später mit den folgenden Befehlen neu zu starten:

killall -KILL httpd

service httpd start # Für Red Hat-Systeme / etc / init / d / apache2 restart # Für Debian-Systeme

Quelle: Linuxaria