Controllo dell’attacco DDoS da CLI
In questo articolo viene illustrato il problema di come verificare la presenza di attacchi Distributed Denial of Service (DDoS) dall’interfaccia CLI (Command Line Interface) del server.
Descrizione description
Ambiente interessato
- Adobe Commerce, tutte le versioni
- Magento Open Source, tutte le versioni
Problema/Sintomi
Il sito Web è lento e non è possibile accedere ad altri strumenti di analisi diversi da CLI per verificare la presenza di un potenziale attacco DDoS. I sintomi di un attacco DDoS possono variare notevolmente a seconda della configurazione di rete, del software utilizzato e così via. Tuttavia, si consiglia di utilizzare prodotti software di analisi appositamente progettati per aiutare a identificare gli attacchi DDoS.
Causa
Ci sono diverse cause possibili per un sito web lento, tra cui un server dalle prestazioni lente, un uso elevato di CPU o un’errata configurazione negli script, nel codice o nell’hardware a basso costo. A volte può essere dovuto a un attacco DDoS. Due degli strumenti di base necessari per verificare la presenza di un attacco DDoS sono i registri di Adobe Commerce e la CLI. Anche in questo caso è importante notare che l’utilizzo di software specificamente progettato per identificare gli attacchi DDoS sarebbe molto utile nelle indagini.
Risoluzione resolution
-
Controlla i registri di Adobe Commerce per vedere se si verifica qualcos’altro oltre a un attacco DDoS. Per ulteriori informazioni, consulta i seguenti articoli nella documentazione per gli sviluppatori:
-
Iniziare a utilizzare CLI per controllare tutte le connessioni Internet correnti utilizzando il comando
netstat:netstat -na. In questo modo vengono visualizzate tutte le connessioni stabilite attive al server. Qui potresti notare troppe connessioni provenienti dallo stesso indirizzo IP. -
Per limitare ulteriormente i risultati della connessione stabilita alle sole connessioni sulla porta 80, la porta HTTP del sito Web, in modo da poter ordinare e riconoscere troppe connessioni da un indirizzo IP o da un gruppo di indirizzi IP, utilizzare questo comando:
netstat -an | grep :80 | sort. È possibile ripetere lo stesso comando per HTTPS sulla porta 443:netstat -an | grep :443 | sort. Un’altra opzione consiste nell’estendere il comando originale a entrambe le porte 80 e 443:netstat -an | egrep ":80|:443" | sort. -
Per verificare se nel server sono presenti molte connessioni
SYNC_RECattive, utilizzare il comando:netstat -n -p|grep SYN_REC | wc -l. Questo valore è di solito inferiore a 5, ma potrebbe essere molto più alto per un attacco DDoS, anche se per alcuni server un numero più alto potrebbe essere una condizione normale. -
Per elencare tutti gli indirizzi IP che inviano stati
SYNC_REC, utilizzare il comando:netstat -n -p | grep SYN_REC | sort -u. -
Per elencare ulteriormente tutti gli indirizzi IP univoci che inviano stati
SYNC_REC, utilizzare il comando:netstat -n -p | grep SYN_REC | awk '{print $5}' | awk -F: '{print $1}'. -
È inoltre possibile utilizzare il comando
netstatper contare e calcolare il numero di connessioni effettuate da ogni indirizzo IP al server:netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n. -
Per elencare il numero di connessioni del protocollo UDP o TCP connesse al server, utilizzare il comando:
netstat -anp |grep 'tcp|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n. -
Per verificare le connessioni stabilite anziché tutte e visualizzare il conteggio delle connessioni per ogni indirizzo IP, utilizzare il comando:
netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr. -
Per visualizzare i conteggi di connessione elencati per indirizzo IP alla porta 80, utilizzare il comando:
netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -nk 1.
Assicurati che qualcuno ti fornisca un’analisi corretta dei dati trovati per determinare se stai riscontrando un attacco DDoS. L’utilizzo dei comandi netstat della CLI del server in questi passaggi consente di analizzare se si verifica un attacco DDoS, ma l’utilizzo di prodotti di analisi software appositamente progettati per aiutare a identificare gli attacchi DDoS, insieme all’analisi corretta, sono gli strumenti migliori per identificare le minacce DDoS.
Se ti trovi sotto un attacco DDoS, i passaggi da eseguire dipendono dalla configurazione della rete e da come si verifica l’attacco DDoS. Il consiglio generale consiste nel contattare l’ISP, ottenere un nuovo indirizzo IP per il server e consultare professionisti IT esperti nella gestione dei problemi DDoS per analizzare e consigliare la situazione specifica.