DOS Attacke auf Apache?
 

hallo

Ich hab ein kleines Sicherheitsproblem mit meinem Apache Daemon.

Seit gut einer Stunden kommen aus dem 65.110.35. Netz extrem viele Anfragen auf meinen Webserver, was zur Folge hat, dass mir ps aux ca 180-200 laufende Prozesse angezeigt hat.

Dass der Server dadurch extrem in die Knie geht, muss ich ja wohl nicht erwähnen.
Gibt es eine Möglichkeit, dass zu unterbinden?

Achja, die Anfragen kommen immer von 10er IP Nummern, also 65.110.35.110, 65.110.35 150...

Re: DOS Attacke auf Apache?
 

versuchs mal in der httpd.conf mit dem redirective "deny from [IP]"

Danke für den Tip, aber das funktioniert nicht.

Ich habe innerhalb einer Minute wieder gut 150 Prozesse laufen. :(

ok, schau dich mal durch die liste durch: http://httpd.apache.org/docs/mod/directives.html

Da hilft nur die IP über IPTables zu filtern oder direkt am Router die IP zu sperren.

Sloter

das hab ich mir auch dacht, allerdings glaub ich, dass er da schon selber draufkommen wäre ;)

Das dachte ich mir schon beinahe.

Wie limitiere ich eig. die Anzahl der gleichzeitig laufenden Prozesse?

Achja, und wie schützt sich eig. ein hosting provider gegen solche Angriffe?
Die können ja ned laufend ihre Firewall aktualisieren.

naja wenns eine echte dos-attack is hilft ja in den meisten fällen statefull monitoring ;)
außerdem decreasen vom timeout

edit: http://httpd.apache.org/docs/mod/cor...axspareservers wenn das nicht hilft scroll mal rauf, die max* directives könnten auch was sein

IP sperren am Router bei DOS Attacken, wenn es eine heftige Attacke ist. Sonst reicht meistens das sperren auf der Firewall.
Wir haben leider laufend damit zu tun :mad:

<Wie limitiere ich eig. die Anzahl der gleichzeitig laufenden Prozesse?

In der httpd.conf :-)

Sloter

eAnic? :rolleyes:

Bin ein Spätzünder :)

Sloter

Noch was :)

Dos machen mächtig Traffic.
Wenn du eine Statistik hast, kontrolliere den Verbrauch und dreh gegebenfalls den Server ein paar Stunden ab.

Sloter

achja, ich hab getraced, der angreifer kommt aus tampa ;)

Tampa? :lol:

Gibts eine Möglichkeit dem zu zeigen, dass er mit sowas nicht ungestraft davonkommt?

Zum beispiel ihn sperren lassen, oder so.

Achja, ich aktualisiere gerade meine Firewall mit einem DROP Eintrag auf sein Netzwerksegment, da er scheinbar nicht genug Anfragen für eine DOS Abwehr absetzt.

Zu 99,9% handelt sich um eine gehackte Maschine und die wird nur als proxy verwendet.

Beschweren kannst du dich am Salzamt :heul:

Sloter

na eh klar - jetzt wo ich die Regel drinnen hab, hat der Depp aufgehört. :motz: