Назад | Перейти на главную страницу

Обнаружение DOS-атаки

В одной из наших систем мы видим много запросов, которые занимают 75 секунд. При низком трафике время отклика составляет около 0,3 секунды.

Что мне интересно, так это то, что кто-то пытается сохранить соединения открытыми, чтобы истощить пул соединений. Но затем закройте его до истечения времени ожидания, чтобы избежать обнаружения.

Наши серверы находятся за балансировщиками нагрузки.

Или кто-нибудь знает, является ли 75 секунд значением по умолчанию для чего-то?

Вы можете начать с просмотра счетчиков производительности в Windows с помощью монитора производительности Windows.

Он включает счетчик TCPv4 \ Connections Established («Connections Established - количество TCP-соединений, для которых текущее состояние либо ESTABLISHED, либо CLOSE-WAIT.»), Который может быть полезным.

Вы можете сравнить это с другими системами и отслеживать это с течением времени. Есть и другие счетчики, которые могут быть интересны.

Наконец, вы можете использовать Wireshark или Network Monitor (оба бесплатные) для отслеживания входящих пакетов. Оба приложения поддерживают применение фильтров.