출처 : http://spamcleaner.org/en/misc/flood-http-mod_security.html
원제 : HTTP DDoS/flood attacks mitigation with ModSecurity
ModSecurity를 이용한 HTTP DDoS/flood 공격 완화 (방어, 대응보다는 완화에 가깝겠네요)
ModSecurity와 iptables를 이용한 ip 차단에서 다룬 modsec2ipt를 이용해 과도한 연결을 시도하는 IP를 drop
(modsecurity의 drop - tcp reset 및 iptables를 이용한 drop(packet drop)하는 방법에 대해 기술하고 있는 문서 입니다.
기존에 차단 rule이 이미 있다면 아래 rule을 먼저 적용해야(modsecurity는 rule을 순차 적용 합니다) DDOS변수로
빠져나가게 되는 일을 막을 수 있습니다. rule에 사용된 지시자의 설명은 링크로 대체합니다.
SecAction initcol:ip=%{REMOTE_ADDR},nolog
SecRule REQUEST_LINE "^GET (?:/|.+.html|.+.php|.+.cgi|.+.pl) HTTP"
"nolog,setvar:ip.ddos=+1,deprecatevar:ip.ddos=100/10"
SecRule IP:DDOS "@gt 50" "log,exec:/path_to/modsec2ipt.pl"
SecRule IP:DDOS "@gt 25" "nolog,drop"
SecRule REQUEST_LINE "^GET (?:/|.+.html|.+.php|.+.cgi|.+.pl) HTTP"
"nolog,setvar:ip.ddos=+1,deprecatevar:ip.ddos=100/10"
SecRule IP:DDOS "@gt 50" "log,exec:/path_to/modsec2ipt.pl"
SecRule IP:DDOS "@gt 25" "nolog,drop"
간단한 설명은 아래를 참고하세요.
SecAction initcol:ip=%{REMOTE_ADDR},nolog
#지속연결 collection의 초기화를 위해 initcol을 사용. 같은 아이피에서의 요청 횟수를 측정,
#ip collection을 위한 DDOS변수를 생성하고 각연결마다 숫자를 증가시킴(+1)
SecRule REQUEST_LINE "^GET (?:/|.+.html|.+.php|.+.cgi|.+.pl) HTTP"
"nolog,setvar:ip.ddos=+1,deprecatevar:ip.ddos=100/10"
#HTTP요청중 'GET'이고 웹서버의 루트 디렉토리("/"), html,php,cgi,pl파일만 필터링에 포함시킴
SecRule IP:DDOS "@gt 50" "log,exec:/path_to/modsec2ipt.pl"
SecRule IP:DDOS "@gt 25" "nolog,drop"
#DDOS변수가 25보다 크면 drop( tcp reset)시키고 50이 넘으면 modsec2ipt.pl를 이용해 iptables의
#drop chain(packet drop)으로 해당 IP를 넘겨줌
#지속연결 collection의 초기화를 위해 initcol을 사용. 같은 아이피에서의 요청 횟수를 측정,
#ip collection을 위한 DDOS변수를 생성하고 각연결마다 숫자를 증가시킴(+1)
SecRule REQUEST_LINE "^GET (?:/|.+.html|.+.php|.+.cgi|.+.pl) HTTP"
"nolog,setvar:ip.ddos=+1,deprecatevar:ip.ddos=100/10"
#HTTP요청중 'GET'이고 웹서버의 루트 디렉토리("/"), html,php,cgi,pl파일만 필터링에 포함시킴
SecRule IP:DDOS "@gt 50" "log,exec:/path_to/modsec2ipt.pl"
SecRule IP:DDOS "@gt 25" "nolog,drop"
#DDOS변수가 25보다 크면 drop( tcp reset)시키고 50이 넘으면 modsec2ipt.pl를 이용해 iptables의
#drop chain(packet drop)으로 해당 IP를 넘겨줌
주의점 :
* windows용 ModSecurity는 drop action은 동작하지 않습니다.
* rule과 매치되는 상황은 nolog로 설정해 불필요하게 log파일이 커지는 것을 방지 하는것이 좋습니다.
(log flood로 이어지는 상황이 발생할 수도 있습니다)
* REQUEST_LINE과 threshold limit는 해당 서버의 설정에 맞게 적절히 수정해 사용해야 합니다.
정확한 이해와 사용을 위해서는 꼭 원문을 읽어보시기를 권합니다.
'Modsecurity' 카테고리의 다른 글
| ModSecurity와 fail2ban을 이용한 ip 차단 (0) | 2009.08.14 |
|---|---|
| ModSecurity Core Rule Set - 중요 변경사항 (0) | 2009.08.07 |
| modsecurity rules updater ( from gotroot.com ) (0) | 2009.06.01 |
| ModSecurity를 이용한 특정 User-Agent 차단 rule (1) | 2009.05.04 |
| ModSecurity와 iptables를 이용한 ip 차단 (1) | 2009.04.28 |