하루에 평균 1만건 정도의 세션이 발생했는데 어느날부터 갑자기 한시간당 몇만건씩 세션이 발생하고있습니다.
몇시간만 나두어도 몇십만건의 세션이 발생하더군요..ㅠㅠ 이로인해 cpu과부하가 엄청나게 걸리고 있으며.
홈페이지도 느려지는 현상이 발생하네요...보드는 그누보드를 사용하고있습니다..혹시 공격성으로 보는것도
가능성이 있나요?
하루에 평균 1만건 정도의 세션이 발생했는데 어느날부터 갑자기 한시간당 몇만건씩 세션이 발생하고있습니다.
몇시간만 나두어도 몇십만건의 세션이 발생하더군요..ㅠㅠ 이로인해 cpu과부하가 엄청나게 걸리고 있으며.
홈페이지도 느려지는 현상이 발생하네요...보드는 그누보드를 사용하고있습니다..혹시 공격성으로 보는것도
가능성이 있나요?
해커가 침투하여 루트를 따면 자기 웹서버처럼 사용할 때도 있습니다.
먼저 웹로그를 분석해보시죠.
간단히 아래 스크립트를 돌려보시면 대략의 IP별 접속통계가 나옵니다.
가장 접속횟수가 많은 트래픽을 뽑아서 시간순으로 정렬후 확인해보시면 정상접속인지, 비정상접속인지 어느정도 파악이 가능할겁니다.
로그에 찍힌 IP기준 정상접속횟수는 서비스마다 다르겠지만, 대략 하루 1000개 이상 카운트되는 경우는 많지 않구요, 5000개 이상이면 거의 확실히 공격성 트래픽이더군요.
분석결과 만약 특정 몇몇 IP에서의 접속이 아니라면 awstat, webalizer와 같은 분석도구로 페이지별 접속통계를 보실 수 있습니다.
그리고 CPU부하가 크다고 하셨는데, 어떤 프로세스가 CPU를 많이 사용하는지, 웹서버가 많이쓴다면 CPU를 많이 쓰는 세션은 어떤페이지를 열때인지 확인이 필요할 듯합니다.
아래는 예전에 DDOS공격받았을때 웹로그를 접속IP별로 카운트할때 사용했던 스크립트입니다.
freebsd 7.2/Apache2.0 환경인데, 리눅스에서는 cut, sort의 옵션이 좀 다를겁니다.
#!/bin/sh
SVC1="/home/admin/ys/log/test"
C="/usr/bin/cut"
S="/usr/bin/sort"
U="/usr/bin/uniq"
/usr/bin/time ${C} -d- -f 1 ${SVC1} | ${S} -k 1 | ${U} -c | ${S} -k 1 -n > result
스크립트는 간단합니다.
웹로그에서 IP만 뽑기 - cut
정렬 - sort
IP별 빈도수 세기 - uniq
빈도수 기준 정렬 - sort