박문형 2016-07

잘은 모르지만

룰을 만들어서 막을 것입니다.

===============================
이런 IP는 무조건 막음

트래픽이 1매가 이상 5초 이상되는 IP는 다 막음
===============================

이런 식이죠..

일종의 프로그래밍 같은 것이기도 하고 L7 스윗치가 저런식으로 셋팅한다고 합니다..

메뉴얼을 잘 찾아보세요..

참고로 미크로틱도 저런 식으로 룰이나 스크립트로 우선 막습니다..

petabyte 2016-07

ㅜㅜ 제가 가지고있는 utm장비로는 불가능하겠네요

답변 감사드립니다.

박문형 2016-07

[admin@MikroTik] >

/ip firewall filter
add action=jump chain=forward connection-state=new disabled=no jump-target=block-ddos
add action=drop chain=forward connection-state=new disabled=no dst-address-list=ddosed src-address-list=ddoser
add action=return chain=block-ddos disabled=no dst-limit=50,50,src-and-dst-addresses/10s
add action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m chain=block-ddos disabled=no
add action=add-src-to-address-list address-list=ddoser address-list-timeout=10m chain=block-ddos disabled=no


옛날 옛적에 (대충 2012년) 이진님이 짜주신 디도스 필터 입니다.

아무 미크로틱 장비나 집어 넣으면 돌아갑니다..(죽지 않고 느려질 뿐이죠)

내트웍이 이유없이 트래픽이 높아지거나 할 때 넣어두면 많이 잠잠해지는데

트래픽이 너무 많거나 길게 오면 어느 시간동안 짤라 버리는(막아버리는) 형태입니다.

전 자세한 설명은 못하므로 미크로틱 더 잘아시는 분이 하나하나 설명해주시면 될 듯합니다.

회원K 2016-07

이것은 공격이 아니고, 특정 포트의 프로세스가 죽는 것과도 무관 합니다.
통상적인 인터넷 pulse 라고 보시면 되요.

서버의 로그를 보시고, 프로세스 죽는 원인을 찾으셔야지 ips로 원인을 돌리시면 안될 것 같습니다.

김윤술 2016-07

저 로그는 별거 아닌거 같은데...
기본룰에 의해서 차단된거 이외에는 별다른거 없고 오픈된 포트에 대해서 서버가 받아줄건데 오픈된 포트에 대한 공격감지는 IPS/UTM에서 감지를 한다고 해도 겨우 저정도 로그 갖고 걱정할 문제는 아닌거 같아요.
서버 프로세스가 죽는 이유는 다른쪽의 원인을 봐야될겁니다. 정상적인 패킷으로도 멈출수도 있는데 그 원인을 찾는게 일순위죠.

라크리모사 2016-07

DDoS는 아니더라도
DoS 공격이긴 합니다

정상 서비스를 못하도록 하는 모든 공격은
DoS 범주에 포함됩니다.