리눅스 서버를 여러대 관리 하고 있습니다.
대부분 별 문제없이 여러해동안 운영했는데요.
요즘 전혀 모르는 유형의 공격이 들어오는 서버가 한대 생겼습니다.
일단 서버의 평균 트래픽이 0.2~0.3 정도 인데요.
공격이 들어오면 2~5 정도까지 트래픽이 상승 합니다.
그리고 에러로그에 로그가 어마어마 하게 빨리 쌓입니다.
로그를 확인 해보면
특별하게 웹사이트 소스에서 별 문제가 없는데
에러 로그를 낼수밖에 없는 신호를 반복적으로 보내서 로그가 쌓입니다.
(예를들어 없는 파일을 호출한다던지 그런식으로)
로그가 어느정도로 빨리 쌓이냐 하면 100기가 쌓이는데 몇일 걸리지 않습니다.
들어오는 아이피도 엄청 다양하고 여러군데입니다.
미국, 중국, 터키, 등등 여러나라에서 엄청 다양한 아이피가 들어와서
아이피로 막는것은 한계가 있더군요...
그리고 더 중요한것은 이런 상태를 지속시키고 그냥 두면
반드시 해킹을 들어와서 서버를 어떤방식으로든지
뚫고 들어옵니다....
상황을 봐서는 디도스의 유형중 하나가 아닐까 생각은 되는데요..
정작 실제로 당해본적이 없어서 의심만 하는 상황입니다.
트래픽이 엄청 증가 하면 서버가 느려집니다.
제가 ssh를 들어가서 뭔가 할때도 아주 늦게 뜹니다.
혹시 이런 공격을 당해보신분들은 어떤식으로 방어를 하는지 궁금합니다.
뭔가 대책을 세워서 방어를 해야 할텐데 대략 난감하네요...
하드웨어 방화벽을 서버 앞에 두고 운영 하는것이 좋다고 하는데
아직 해본적이 없어서 ........ 어떤장비를 어떤식으로 운영해야 할지도 모르겠습니다...
고수분들의 좋은 의견 부탁 드립니다.
기술적인 것은 잘 모르십니다..
내용을 봤을때 1대 서버는 좀비서버가 되어서 계속 문제를 일으키는 듯하네요..
꺼버릴수 있으시면 꺼버리세요..
근데 그 서버가 웹서비스가 살아나기가 무섭게 다시 똑같은 공격이 들어옵니다.
그 공격받는 서버의 웹주소 하나가 공격 대상입니다. 서버 아이피를 바꾸어 놓아도
웹주소로 들어오는 공격이라 마찬가지였구요... 끌수는 없죠.. ㅎㅎ 웹서비스는 해야 하니까요..
당장 잠깐 끄는거는 가능한데 키면 또 공격 들어옵니다.
그 웹주소를 막아 버리던지
그 웹주소에 어떤 트래픽이 어느 이상 어느 시간 이상 나타나면 자동적으로 그 트래픽을 차단해버리는
그리고 그 차단 시간이 어느 정도 되면 다시 풀어 주는 그런 프로그래밍을 해서 막을수 밖에 없을 듯합니다..
서버가 있는 곳이 IDC라면 네트워크나 보안 담당자에게 그런게 가능한지 확인해보세요..
https://megaidc.net/board_kRVd58/733
찾다가 보니까 이런 방법이 있는데....
한번 시도 해봐야 할듯 합니다... 동일 아이피내 다중 접속시 자동 차단...
지금 공격 트래픽 정도로 보면 네트워크 수준의 공격 정도는 아니고
서버 수준의 공격 정도 인듯 하거든요.
재대로 디도스 맞으면 네트웍 장비가 고장납니다..(다른 말로는 타버린다는 표현이)
골치 아픈 문제인데 잘 해결되시기 기원합니다..
별거 없는 사이트인데 뭐 얻어먹을게 있다고
이렇게 열심히들 공격하고 있는지 ㅎㅎㅎ
덕분에 저만 일거리가 늘고 있네요...
처음엔 2~4기가로 들어왔습니다..
당연 사이트는 차단되고.. 로그도.. 2~3기가 쌓이더군요..
제일 먼저 로그를 껐습니다..
그후 20G 디도스 존으로 들어 갔습니다..
1개월 후 나옴..
디도스 존은 아주 비쌌었습니다. 150~200만원/개월
그 후
서버 IP 바꾸고, 도메인명 바꾸고.....
일단 로그는 진작 저도 껐습니다만...
주구장창 해킹 시도에 언젠가는 약점이 노출되기때문에...
웹서비스 들어오기 전단계에서 막아야 할것 같긴 해보입니다.
디도스나 해킹 공격 같은거 하다가 걸리면
국가를 막론하고 사형시키는 법 같은게 생겨야 없어지려나요?
참고로 저는 소프트웨어/네트웍 잘 모릅니다..
대충하는게 레이드랑 마더보드입니다..
리눅스도 잘 모릅니다..
제맘대로 건들수가 없죠....
아마 제가 임의로 제 서버로 오는 회선에 라우터방화벽 장비를 하나끼우고 그다음 서버로 연결을
해야 제가 맘대로 주무를수 있을걸요..
잘 다루시는 장비 있으신지요??
그래서 더 걱정이죠.. 그래도 이왕 한다면 안그래도 미크로틱 장비를
공부 하려던 참이니 그것으로 구성을 해볼수 있으면 좋겠네요... 공부도 할겸.
물리네떡단에서 막지않으면 소프트웨어단에서 막는건 아무래도 한계가있습니다.
서비스에 문제없으실만큼 대역차단하시고 알려진 포트들 웹서비스를 제외한 다른포트는 전부 내부용으로 돌리시거나 포트번호를 바꾸시는것도 방법이될거같습니다 근데 이미 소프트웨어단은 여러가지다해보신듯한 느낌이...
웹서비스라면 cloudflare도입도 적극 고려해보시는것도 나쁘지않습니다. 단 이것은 이미 호스트 아이피가 노출된 상태에선 의미가없어서 새로 아이피를 부여받고 클라우드플레어뒤에 숨어있는 방법을...
아이피를 바꾸는건 소용이 없었구요..
알려진 포트 안쓰는건 애초에 서버 세팅시부터 그렇게 했던거라...
공격은 모조리 80으로 들어옵니다.
열린 포트라고 해봐야 80,443, 3306이 다거든요.. 나머지 ssh ftp 정도는 이미 포트 변경이 다 된 상태구요...
클라우드플레어는 저도 아직 안알아본 서비스인데 한번 자세히 알아봐야겠네요.. 감사합니다.
https://www.krcert.or.kr/webprotect/cyberShelters/cyberShelters.do
그런데 한번 디도드 공격 당했으면 이미 웹서버단에 응답해주는 쉘이나 스크립트를 심어놨을 확률이 높고 디도스는 이유없이 공격안합니다. 해킹처럼 이리저리 쑤시는게 아니라 서버를 멈추게 해야겠다는 의뢰를 받았기 때문에 디도스 공격이 이루어진겁니다.
대부분 경쟁업체겠죠.
디도스나 공격패턴 감지되면 바로바로 폰으로 알람 들어옵니다. 그리고 진짜 도스 공격이 맞는지 검증하고 맞다면 영구블랙 IP로 앞단에서 처리하게 하죠.
디도스 막을려면 최소한 앞단 방화벽 뒷단방화벽 두개는 갖고 있어야 됩니다.