Comment prévenir une attaque DDOS sur Amazon EC2 ?

Vous pouvez également isoler davantage vos instances EC2 en les plaçant derrière un équilibreur de charge élastique (Elastic Load Balancer) et en n'acceptant que le trafic provenant de l'instance ELB. De cette manière, il incombe davantage à Amazon de gérer les attaques DDOS.

Je suppose que vous aurez toujours SSH ouvert à tous, il est donc probable que vous verrez toujours du trafic frauduleux entrer par là, à moins que vous ne puissiez verrouiller ce port à des IP statiques. Vous pourriez changer le port SSHd pour quelque chose de plus obscur (c'est-à-dire autre que 22) afin de réduire davantage les attaques DDOS (la plupart des robots ne vérifient que les ports connus).

Je mentionnerai également fail2ban, qui peut surveiller les journaux et modifier temporairement vos tables d'adresses IP pour bloquer des adresses IP spécifiques (par exemple, s'il y a eu 6 tentatives infructueuses d'accès SSH à votre hôte à partir d'une seule adresse IP, il peut bloquer cette adresse IP pendant 30 minutes environ). Gardez à l'esprit que (comme Jordan l'a astucieusement commenté) fail2ban n'est probablement pas approprié pour bloquer le trafic proxy (par exemple, celui provenant d'un ELB) parce qu'il bloquera l'IP du proxy, pas nécessairement l'IP distante d'origine.

Je ne l'ai pas utilisé, mais Apache mod_evasive peut également être intéressant ; cependant, il peut avoir les mêmes faiblesses que fail2ban en ce qui concerne le blocage basé sur l'IP.

Si vous utilisez Apache, je vous suggère d'utiliser mod_security . Emballé par la plupart des vendeurs, le jeu de règles de base fait un travail fantastique.

Une autre mesure de renforcement consiste à limiter les demandes au niveau du serveur web. Nginx ., Apache peut étrangler et limiter les requêtes entrantes.

La solution que j'utilise pour bloquer en temps réel les IP de mauvaise activité provenant d'AWS et d'autres est la suivante... Dans mon pare-feu CSF, dans la configuration des listes de blocage LFD, j'utilise une liste trouvée ici - http://myip.ms/browse/blacklist/Blacklist_IP_Blacklist_IP_Addresses_Live_Database_Real-time

Télécharger Blacklist pour CSF Firewall " http://myip.ms/files/blacklist/csf/latest_blacklist.txt

Il n'y a plus de trafic de l'AWS qui soit outrageusement odieux.

Je suis partial, car je travaille pour un réseau de diffusion de contenu en tant qu'ingénieur avant-vente dans le domaine de la sécurité.

Cependant, l'utilisation d'une solution d'atténuation du Ddos sur un réseau de diffusion de contenu permet de ne jamais manquer de ressources à l'origine. Cela revient à placer un équilibreur de charge F5 devant votre site, mais réparti sur des milliers de sites à travers le monde.

A

S

A

B

T

F

T