Detección y prevención de ataques DDOS en Linux

Como webmaster, no solo para garantizar el tráfico del sitio web, sino también para evitar ataques de DDOS, ¿cómo detectar ataques de DDOS en Linux? ¿Cómo prevenir los ataques DDOS? Todo esto es un aprendizaje.

1, el uso de herramientas para detectar Ver netstat conexión SYN

netstat -n -p -t

conexiones a Internet activa (W /O) guía servidores

Proto Recv-Q-Q Enviar local Dirección Dirección de Asuntos Exteriores Estado PID /nombre del programa

tcp 0 0 192.168.0.200:5050 192.168.0.38:48892 TIME_WAIT -

tcp 0 0 192.168 .0.200: 5050 192.168.0.38:36604 TIME_WAIT -

tcp 0 0 192.168.0.200:5050 192.168.0.38:52988 TIME_WAIT -

tcp 0 0 192.168.0.200:5050 192.168.0.38: 38911 TIME_WAIT -

tcp 0 0 192.168.0.200:5050 192.168.0.38:58623 TIME_WAIT -

tcp 0 0 192.168.0.200:43690 192.168.0.200:61616 ESTABLECIDO 10415 /java

Por supuesto, todas las anteriores son conexiones normales. Por supuesto, si TIME_WAIT es demasiado, definitivamente no es normal.
(Ya sea atacada o requerir ajuste de parámetros.)

sido el caso de un ataque DDoS maliciosos se verá en el sistema, muchas conexiones en estado SYN_RECV (un estado en el sistema de SYN_RECEIVED VENTANAS) fuente Las direcciones IP son aleatorias, lo que indica que se trata de un ataque SYN con falsificación de IP.

tcp 0 10.11.11.11:23 124.173.152.8:25882 SYN_RECV-

tcp 0 10.11.11.11:23 236.15.133.204:2577 SYN_RECV-

tcp 0 10.11. 11.11: 23 127.160.6.129:51748 SYN_RECV-

particular, el estado del puerto serie son los siguientes:

Cerrado: sin conexión está activa o en curso

ESCUCHAR: servidor de llamadas entrantes

SYN_RECV de espera: una solicitud de conexión se ha alcanzado, a la espera de un reconocimiento

SYN_SENT: la aplicación se ha iniciado, se abre una conexión

ESTABLECIDO: estado de transmisión de datos normal

FIN_WAIT1: aplicación que se ha completado

FIN_WAIT2: el otro lado ha acordado liberar

ITMED_WAIT: esperar a que todos los paquetes de morir

cIERRE: ambos lados al mismo tiempo tratan de cerrar

TIME_WAIT: una liberación del otro lado se ha inicializado

LAST_ACK: esperar a que todos los paquetes mueren

puede ser descrito aspecto algo más detallada y una explicación de la que se extiende estado ESTABLISHED Baidu Enciclopedia .

Hay muchas estadísticas sobre el estado específico de SYN_RECV. Presentaré los dos scripts aquí:

netstat -an