最佳實踐檢測攻擊DOS（拒絕服務）？

Question

我找的檢測和防止DOS在服務實現（不是外部網絡監控）的最佳實踐。該服務處理用戶，組和屬性信息的查詢。

什麼是信息處理DOS你最喜歡的來源？

Answer 1

這是一個技術，我發現非常有用的..

Prevent Denial of Service (DOS) attacks in your web application

Answer 2

不管你做什麼防止DoS攻擊，認爲如果你做什麼，實際上可能會增加處理惡意或有害請求所需的負載！

如果您正在使用Linux，那麼你應該看看這篇文章：
Rule-based DoS attacks prevention shell script（從Linux公報） 它具有以下內容：

• 如何檢測DoS攻擊從 在/ var /日誌/安全文件
• 如何減少冗餘從臨時文件中檢測到IP地址
• 如何激活/ sbin目錄/ iptables的
• 如何安裝所提出的shell腳本

應用這種沒有適當限制在iptables的封鎖IP地址的數量可以通過增加該電源線資源，韓德爾垃圾請求介紹一個拒絕服務漏洞。 爲了降低這種風險使用ipset iptables的匹配IP-地址。

此外，瞭解ssh dictionary attack prevention using iptables。 （啓用iptables與狀態防火牆，因爲這裏建議不能防止大多數DoS攻擊，但實際上可能緩解 DoS攻擊污染你的RAM用無用的狀態信息。）

Linux新手？閱讀IBM的Windows-to-Linux roadmap: Part 5. Linux logging。

祝你好運！

Answer 3

我解決DoS漏洞第一次嘗試使用古勒扎爾，這基本上限制來自同一IP地址允許的呼叫數量提出的辦法。我認爲這是一個好方法，但不幸的是，它導致我的代碼無法通過性能測試。

由於我無法讓性能測試組更改他們的測試（政治問題，而不是技術問題），我改變了限制在可配置的時間間隔內允許的呼叫次數。我同時調用了最大呼叫數量和時間間隔。我還允許設置值爲0或禁用限制的負數。

需要保護的代碼由多個產品在內部使用。所以，我讓每個產品組都運行他們的QA和性能測試套件，並提出了儘可能小的默認值，以限制真正的DoS攻擊，但仍然通過了所有測試。

FWIW，時間間隔爲30秒，最大呼叫次數爲100次。這不是一個完全令人滿意的方法，但它簡單實用，並得到企業安全團隊的批准（另一個政治考慮因素）。