이런종류의 공격유형은 무엇인가요??
petabyte 2016-07 2016-07-14 22:25:42 조회 4286 추천 0
UTM장비에 기록되어 있는 로그입니다.
DDOS 는 아니라고 하셔서.. 혹시 이런종류의 공격유형은 어떻게 막을수 있나요? ㅜㅜ
계속 특정 포트의 프로세스가 다운되버립니다..
소중한 한마디 감사드립니다.
룰을 만들어서 막을 것입니다.
===============================
이런 IP는 무조건 막음
트래픽이 1매가 이상 5초 이상되는 IP는 다 막음
===============================
이런 식이죠..
일종의 프로그래밍 같은 것이기도 하고 L7 스윗치가 저런식으로 셋팅한다고 합니다..
메뉴얼을 잘 찾아보세요..
참고로 미크로틱도 저런 식으로 룰이나 스크립트로 우선 막습니다..
답변 감사드립니다.
/ip firewall filter
add action=jump chain=forward connection-state=new disabled=no jump-target=block-ddos
add action=drop chain=forward connection-state=new disabled=no dst-address-list=ddosed src-address-list=ddoser
add action=return chain=block-ddos disabled=no dst-limit=50,50,src-and-dst-addresses/10s
add action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m chain=block-ddos disabled=no
add action=add-src-to-address-list address-list=ddoser address-list-timeout=10m chain=block-ddos disabled=no
옛날 옛적에 (대충 2012년) 이진님이 짜주신 디도스 필터 입니다.
아무 미크로틱 장비나 집어 넣으면 돌아갑니다..(죽지 않고 느려질 뿐이죠)
내트웍이 이유없이 트래픽이 높아지거나 할 때 넣어두면 많이 잠잠해지는데
트래픽이 너무 많거나 길게 오면 어느 시간동안 짤라 버리는(막아버리는) 형태입니다.
전 자세한 설명은 못하므로 미크로틱 더 잘아시는 분이 하나하나 설명해주시면 될 듯합니다.
통상적인 인터넷 pulse 라고 보시면 되요.
서버의 로그를 보시고, 프로세스 죽는 원인을 찾으셔야지 ips로 원인을 돌리시면 안될 것 같습니다.
기본룰에 의해서 차단된거 이외에는 별다른거 없고 오픈된 포트에 대해서 서버가 받아줄건데 오픈된 포트에 대한 공격감지는 IPS/UTM에서 감지를 한다고 해도 겨우 저정도 로그 갖고 걱정할 문제는 아닌거 같아요.
서버 프로세스가 죽는 이유는 다른쪽의 원인을 봐야될겁니다. 정상적인 패킷으로도 멈출수도 있는데 그 원인을 찾는게 일순위죠.
DoS 공격이긴 합니다
정상 서비스를 못하도록 하는 모든 공격은
DoS 범주에 포함됩니다.