Comprobación de ataques DDoS desde CLI
Este artículo trata sobre el problema de cómo intentar comprobar si hay ataques de denegación de servicio (DDoS) distribuidos desde la interfaz de línea de comandos (CLI) del servidor.
Descripción description
Entorno afectado
- Adobe Commerce, todas las versiones
- Magento Open Source, todas las versiones
Problema/Síntomas
Su sitio web es lento y no tiene acceso a ninguna otra herramienta de aplicación de análisis, aparte de su CLI, para comprobar si hay un posible ataque DDoS. Los síntomas de un ataque DDoS pueden variar ampliamente según la configuración de su red, el software utilizado, etc. Sin embargo, se recomienda utilizar productos de software de análisis diseñados específicamente para ayudar a identificar ataques DDoS.
Causa
Existen varias causas posibles para un sitio web lento, como un servidor de rendimiento lento, un uso elevado de CPU o una configuración incorrecta en scripts, código o hardware barato. A veces podría deberse a un ataque DDoS. Dos de las herramientas básicas que tiene que comprobar para un ataque DDoS son sus registros de Adobe Commerce y su CLI. Una vez más, es importante tener en cuenta que el uso de software específicamente diseñado para identificar ataques DDoS sería muy útil en su investigación.
Resolución resolution
-
Compruebe sus registros de Adobe Commerce para ver si se está produciendo algo más que un ataque DDoS. Para obtener más información, consulte los siguientes artículos en la documentación para desarrolladores de:
-
Empiece a usar la CLI para comprobar todas las conexiones a Internet actuales mediante el comando
netstat:netstat -na. Muestra todas las conexiones establecidas activas con el servidor. En este caso, es posible que pueda observar demasiadas conexiones procedentes de la misma dirección IP. -
Para reducir aún más los resultados de la conexión establecida a sólo aquellos que se conectan al puerto 80, el puerto HTTP del sitio web, de modo que pueda ordenar y reconocer demasiadas conexiones desde una dirección IP o grupo de direcciones IP, utilice este comando:
netstat -an | grep :80 | sort. Puede repetir el mismo comando para HTTPS en el puerto 443:netstat -an | grep :443 | sort. Otra opción es extender el comando original a los puertos 80 y 443:netstat -an | egrep ":80|:443" | sort. -
Para ver si hay muchas conexiones activas de
SYNC_RECen el servidor, use el comando:netstat -n -p|grep SYN_REC | wc -l. Esto suele ser inferior a 5, pero podría ser mucho mayor para un ataque DDoS, aunque para algunos servidores un número mayor podría ser una condición normal. -
Para enumerar todas las direcciones IP que envían
SYNC_RECestados, use el comando:netstat -n -p | grep SYN_REC | sort -u. -
Para obtener una lista adicional de todas las direcciones IP únicas que envían los estados de
SYNC_REC, use el comando:netstat -n -p | grep SYN_REC | awk '{print $5}' | awk -F: '{print $1}'. -
También puede usar el comando
netstatpara contar y calcular el número de conexiones que cada dirección IP realiza al servidor:netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n. -
Para enumerar el número de conexiones de protocolo UDP o TCP conectadas al servidor, use el comando:
netstat -anp |grep 'tcp|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n. -
Para comprobar las conexiones establecidas en lugar de todas las conexiones y mostrar el recuento de conexiones de cada dirección IP, utilice el comando:
netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr. -
Para mostrar los recuentos de conexiones enumerados por dirección IP al puerto 80, use el comando:
netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -nk 1.
Asegúrese de que alguien proporcione un análisis adecuado de los datos que encuentre para determinar si está experimentando un ataque DDoS. El uso de los comandos netstat de la CLI de su servidor en estos pasos le ayudará a analizar si está experimentando un ataque DDoS, pero el uso de productos de análisis de software diseñados específicamente para ayudar a identificar ataques DDoS, junto con un análisis adecuado, son las mejores herramientas para identificar amenazas DDoS.
Si descubre que está sufriendo un ataque DDoS, los pasos que puede seguir dependen de la configuración de su red y de cómo se esté produciendo. El consejo general es ponerse en contacto con su ISP, obtener una nueva dirección IP para su servidor y consultar a profesionales de TI expertos en el manejo de problemas de DDoS para analizar y aconsejar sobre su situación particular.