Получил много посещений на моем веб-сервере, и это отключило мой httpd. Возможный DDoS?

Эти домены вы размещаете? Я подозреваю, что нет.

В последнее время я наблюдал значительное увеличение числа сканирований открытых http-прокси на своих машинах - похоже, что вы можете запустить открытый http-прокси (что так же плохо, как запуск открытого почтового ретранслятора - даже хуже, поскольку большинство людей теперь реализуют кариозные смягчения, такие как RBL и SPF).

Отключите проксирование / добавьте аутентификацию / ограничьте свои адреса LAN.

OTOH, если вы действительно являетесь веб-мастером всех этих доменов, обратите внимание на mod_evasive и mod_security.

Используйте обратный прокси, я бы посоветовал Nginx из-за его небольшого веса.

Настройте раздел сервера для вашего домена и один по умолчанию для перехвата всех запросов. Любые запросы, которые поступают в домен catch all, возвращают 404.

Также отключите KeepAlive, установив для него значение 0, и вы, вероятно, захотите отключить ведение журнала для раздела по умолчанию, пока атака не прекратится, иначе она заполнит наш диск.

Вот небольшой скрипт IPtables, который ограничит количество подключений с отдельных IP-адресов за указанный период. В прошлом для нас это останавливало. Он использует последний модуль (который большинство современных ОС автоматически загружает как модуль IPtables).

Похоже, что эти HTTP-обращения могут не вызывать проблемы с веб-сервером, но это просто ограничит весь трафик с IP-адреса, поэтому не будут беспокоиться только о HTTP-попаданиях, если вы удалите параметр --dport. Как и все, что связано с IPtables: используйте с осторожностью (сначала попробуйте локально, если это удаленный сервер).

iptables -F; iptables -X; iptables -nL

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --set

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl -j DROP

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl -j LOG --log-level info --log-prefix IP-DROP:

Судя по отметкам времени, это не похоже на очень высокий процент попаданий, но, судя по IP-адресам, он, похоже, исходит отовсюду. Большинство веб-серверов должны уметь обрабатывать несколько обращений в секунду. Однако вы можете попробовать несколько способов смягчить проблему.

1. Если некоторые из этих подключений блокируют подключения, удерживая открытое подключение, вы можете уменьшить сохранить жизнь тайм-аут для каждого соединения.
2. Убедитесь, что ваш httpd не потребляет слишком много памяти, сокращение максимальное количество слушающих процессов и потоков.
3. Припаркуйте свой веб-сервер за обратным прокси-сервером, таким как varnish / pound, и отфильтруйте целевые соединения на границе, немедленно удалив недопустимые соединения.
4. Усильте свой сервер, чтобы он мог обрабатывать большее количество подключений. Регулярно тестируйте вещи, используя осада или скамейка apache чтобы вы могли справиться с разумной нагрузкой.