[S4BBa7]

Od jakiegoś czasu mój Tomcat jest atakowany - htop pokazuje mi zajęcie proca w 100%, a logi z managera wyglądają tak -> http://pastebin.com/uJFJcSaP
W jaki sposób mogę się przed tym uchronić?
#sysadmin

[houk]

@S4BBa7 Jaki volumen ruchu?
Opcji masz kilka.
Banowac na firewallu.
Zainwestowac w cloudflare
Mod_security
Web application

[maniac777]

@S4BBa7: Wygląda albo na błąd w Tomcat, albo na atak typu HTTP SLOW. Tak czy siak ja:
1. Postawiłbym apache na froncie (worker, duża ilóść wątków)
2. Do tomcata kierowałbym ruch przez AJP
3. Skorzystał z mod_reqtimeout który pozwala ograniczyć czas na przesłanie nagłówków

Zakładam, że skoro są znaki zapytania przy metodzie i uri to nagłówki długo nie były przesłane. Rozwiązanie 1 i 2 sprawią żę nie trafi to do

[S4BBa7]

@houk: f2b mam, ale zauważyłem, że nie posiada filtra dla tomcata. Znalazłem gotowca -> http://serverfault.com/questions/706849/fail2ban-config-failregex-for-tomcat-8
Póki co jest cisza z ich strony.
Wcześniej zbanowałem inny adres (drenował jeden wątek), ale po godzinie pojawił się nowy, który już zajmował 17 wątków ;)
Zainteresuję się tym ModSecurity.

@maniac777: Gdy będę miał trochę więcej czasu to docelowo zrobię taki config jaki podałeś. Wydaje mi się

[houk]

@S4BBa7: Jeśli masz zalew sesji tcp to może warto zainwestować w firewall który np filtruje per ip ilości sesji na np 5 minut i banuje jak za dużo. Ja kupiłem kiedyś mikrotika CRS 109 i użyłem tej funkcji na takie DDoSy. Sprawdza się świetnie. No i można też kolejkować ruch per ip na maksymalny transfer jak ktoś próbuje wysycić łącze transferem. Pozwalasz gościowi na wiele sesji ale po np 5

[maniac777]

@S4BBa7: mod_security to moduł apache, nie tomcata (chyba że @houk miał coś innego na myśli) więc by zastosować i tak potrzebujesz przynajmniej 1 z mojego planu. Dodatkowo mam wątpliwość czy Ci pomoże.

PS: Pomysł z limitowaniem przepływności jest słaby i może jedynie potęgować problem wysycenia wątków.

[houk]

@maniac777: Myślałem o mod_security na apachu + proxy do tomcata. Apache by brał na siebie obciążenie i blokował a tomcat by przeżył.
Przed limitem przepływności można zerwać istniejące sesje wtedy wątki będą wolne a nowe będą już z limitem.
Zresztą najprościej po prostu zbanować na 10 minut. Jak ponowi to kolejny ban na 2 dni.

[maniac777]

Jak ponowi to kolejny ban na 2 dni.

@houk: Tym ruchem od usługi możesz na dwa dni odciąć kilka tysięcy klientów komórkowców (czy innych sieci) którzy siedzą za CGN.

[houk]

@maniac777: Owszem, ale paru milionom innych będzie działać a nie zdechnie wszystkim. Najlepiej WAF postawić ale to drogie rozwiazania, tanio apache z mod_security i kupa czasu na konfigurację. Filtrowanie na sesje per ip szybkie i proste ale nie koniecznie dobre. Jak zwykle w życiu żeby było dobrze to trzeba się narobić ( ͡° ʖ̯ ͡°) Zostaje cloudflare ale też za darmo nie jest.

[houk]

@S4BBa7: Zobacz jeszcze to. https://www.owasp.org/index.php/Category:OWASP_ModSecurity_Core_Rule_Set_Project
Zestawik reguł do mod_security, może się przyda jak się zdecydujesz.

[maniac777]

@houk: Wiele zależy od tego przy czym pracujesz. Ja nie mogę sobie pozwolić ani na niedziałanie, ani tym bardziej na trwałe (dwudniowe) odcięcie.

[houk]

@S4BBa7: Monitorujesz jakoś ruch z analizą geo? Może z konkretnego kraju Cię młucą?
Polecam do analizy logów kombo logstach, elasticsearch i kibana. Fajnie działa:D
Możesz np takie widoczki zrobić, tutaj wyfiltrowany ruch idący do serwera www i poczty z banowaniem całego zakresu ip z chin. Lecą ataki od kilku dni na smtp to wyciąłem. Akurat mogę chiny z tej poczty wycinać bez konsekwencji.

[maniac777]

@JakisTakiNick: https://en.m.wikipedia.org/wiki/Carrier-grade_NAT

[korni007]

@houk nigdy nie udało mi się postawić kibany i es do ładnego wyświetlania logów systemowych :((( robiłem zawsze krok po kroku i d--a :( może pomożesz cumplu?

[c.....o]

W jaki sposób mogę się przed tym uchronić?

@S4BBa7: nie wystawiaj tomcata na świat.

[houk]

@korni007: Całkiem niedawno robiłem upgrade i korzystałem z tego.
https://www.digitalocean.com/community/tutorials/how-to-install-elasticsearch-logstash-and-kibana-elk-stack-on-ubuntu-14-04
Poszło bez problemów większych. Z czego chcesz logować? Bo np logi firewalla loguje z mikrotika i parser do logstash napisałem sobie sam, tak by idealnie pasował do formatu sysloga.