NetStat: näpunäited DDoS-rünnakute tuvastamiseks

Olen leidnud väga huvitava artikli linuxaria selle kohta, kuidas tuvastada, kas meie server on rünnaku all DDoS (Hajutatud teenuse keelamine)Või mis on sama, Teenuste keelamise rünnak.

Seda tüüpi rünnakud on üsna tavalised ja võivad olla põhjuseks, miks meie serverid on mõnevõrra aeglased (kuigi see võib olla ka 8. kihi probleem) ja sellest ei ole kunagi valus ette hoiatada. Selleks saate tööriista kasutada netstat, mis võimaldab meil näha võrguühendusi, marsruuditabeleid, liidese statistikat ja muid asju.

NetStati näited

netstat -na

See ekraan sisaldab kõiki aktiivseid Interneti-ühendusi serveris ja ainult loodud ühendusi.

netstat -an | grep: 80 | sorteerida

Kuva ainult porti 80, mis on http-port, asuva serveriga ainult aktiivsed Interneti-ühendused ja sortige tulemused. Kasulik ühe üleujutuse tuvastamisel (üleujutus), nii et see võimaldab ära tunda paljusid IP-aadressilt pärinevaid ühendusi.

netstat -n -p | grep SYN_REC | wc -l

See käsk on kasulik teada, kui palju aktiivseid SYNC_REC-e serveris esineb. Arv peaks olema üsna väike, eelistatavalt alla 5. Teenuse keelamise rünnakute või postipommitamiste korral võib see arv olla üsna suur. Kuid väärtus sõltub alati süsteemist, nii et kõrge väärtus võib teises serveris olla normaalne.

netstat -n -p | grep SYN_REC | sorteeri -u

Koostage kõigi asjaosaliste IP-aadresside loend.

netstat -n -p | grep SYN_REC | awk '{print $ 5}' | awk -F: '{print $ 1}'

Loetlege kõik selle sõlme unikaalsed IP-aadressid, mis saadavad ühenduse oleku SYN_REC.

netstat -ntu | awk '{print $ 5}' | lõigatud -d: -f1 | sorteeri | uniq -c | sort -n

Kasutage käsku netstat arvutamaks ja loendamaks ühenduste arvu igalt IP-aadressilt, mille teete serveriga.

netstat -anp | grep 'tcp | udp' | awk '{print $ 5}' | lõigatud -d: -f1 | sorteeri | uniq -c | sort -n

TCP või UDP protokolli abil serveriga ühenduse loomise IP-aadresside arv.

netstat -ntu | grep ESTAB | awk '{print $ 5}' | lõigatud -d: -f1 | sorteeri | uniq -c | sort -nr

Kõigi ühenduste asemel kontrollige ühendusi, mis on märgitud ESTABLISHED ja näita ühendusi iga IP jaoks.

netstat -plan | grep: 80 | awk {'print $ 5'} | cut -d: -f 1 | sort | uniq -c | sort -nk 1

Kuvab IP-aadresside loendi ja nende ühenduste arvu serveri 80. pordiga ühenduse loomiseks. Port 80 kasutab veebipäringute jaoks peamiselt HTTP-d.

Kuidas leevendada DOS-i rünnakut

Kui olete leidnud serveri ründava IP-ühenduse, saate nende ühenduse serveriga blokeerimiseks kasutada järgmisi käske:

iptables -A SISEND 1 -s $ IPADRESS -j DROP / REJECT

Pange tähele, et peate asendama $ IPADRESS leitud IP-aadressidega netstatiga.

Pärast ülaltoodud käsu käivitamist TÕMME kõik httpd-ühendused, et oma süsteem puhastada ja taaskäivitada hiljem järgmiste käskude abil:

killall -TAPPA httpd

teenus httpd start # Red Hati süsteemide jaoks / etc / init / d / apache2 taaskäivitage # Debiani süsteemide jaoks

allikas: linuxaria