Nginxを使用したランダムな引数によるDDOS攻撃に対する保護

新しいタイプのボットネットに出会いました。 古いものがメインのみでくぼんだ場合、新しいものは異なる動作をします。 フォームの多くのリクエストを送信します

GET someurl /?t1555ss5326=5326



、ここでsomeurlはボットが検出したphpスクリプトです。

ただし、攻撃されたサイトがCNCをサポートしている場合、そのような要求は原則として存在しないはずです。 CNCは現在、事実上の標準であるため、IPボットをログに記録することにより、このような要求を安全に遮断できます。

Nginxはこれに非常に便利で、変数is_argsの値は「？」です。引数がURIに渡される場合。 基本的なデザインは次のようになります。



if ($is_args = "?") {

return 403 444;

}







非常にシンプルで美しいですね。

この保護を有効にすると、LAは次のようになります。

load average: 1.50, 3.09, 6.96





〜20,000のゾンビの現在のボットネットは、5〜8kの同時リクエストを行います。