DDOSは、次のようなデータセンターの主要システムを圧倒する攻撃のファミリーです。
- ホスティングセンターのインターネットへのネットワーク接続
- ホスティングセンターの内部ネットワークとルーター
- ファイアウォールとロードバランサー
- Webサーバー、アプリケーションサーバー、およびデータベース。
DDOS防御の構築を開始する前に、最悪の場合のバリューアットリスクを検討してください。小規模なコミュニティ向けの重要ではない、無料で使用できるサービスの場合、リスクのある合計値はピーナッツである可能性があります。確立された数十億ドル規模のビジネスのための有料の、公に面した、ミッションクリティカルなシステムの場合、その価値は会社の価値かもしれません。この後者の場合、StackExchangeを使用するべきではありません:)とにかく、DDOSに対して防御するには、多層防御アプローチが必要です。
- ホスティングセンターと協力して、インターネットへのネットワーク接続でのIPおよびポートフィルタリングや、ホスティングセンターが提供するファイアウォールサービスなど、ホスティングセンターが提供するサービスを理解します。これは非常に重要です。ホスティング会社が1人の顧客に対するDDOSによって引き起こされるデータセンター全体の混乱に対処するため、多くのサイトがホスティング会社によってインターネットから引き出されます。また、DDOS攻撃中は、ホスティングセンターのスタッフと緊密に連携するため、緊急電話番号を把握し、良好な関係を保つ必要があります:)国際地域全体をブロックし、特定のサービスやネットワークを完全にブロックできる必要があります。プロトコルやその他の広範囲にわたる防御策、またはホワイトリストに登録されたIPのみを許可する（ビジネスモデルによって異なります）
- ホスティングセンターにいる間は、コンテンツ配信ネットワークを使用して、エンドユーザーの近くに（主に静的な）サービスを配布し、DDOSアーキテクトから実サーバーを隠します。完全なCDNは大きすぎて、DDOSがすべての国のすべてのノードを取り出すことはできません。DDOSが1つの国に焦点を合わせている場合でも、少なくとも他のユーザーは問題ありません。
すべてのシステムとソフトウェアパッケージを最新のセキュリティパッチで更新してください-そして私はそれらすべてを意味します：
- マネージドスイッチ-うん、これらは時々更新が必要です
- ルーター
- ファイアウォール
- ロードバランサー
- オペレーティングシステム
- Webサーバー
- 言語とそのライブラリ
適切なファイアウォールまたはセキュリティアプライアンスがセットアップされ、資格のあるセキュリティ専門家によって定期的にレビューされていることを確認してください。ファイアウォールの強力なルールは、多くの単純な攻撃に対する優れた防御策です。また、オープンサービスごとに利用可能な帯域幅を管理できると便利です。
適切なネットワーク監視ツールを用意します。これは、次のことを理解するのに役立ちます。
- 単に重い負荷がかかっているのではなく、攻撃を受けていること
- 攻撃の発信元（通常は取引を行わない国が含まれる場合があります）および
- 攻撃が実際に何であるか（ポート、サービス、プロトコル、IP、およびパケットの内容）
攻撃は単に正当なWebサイトサービスの多用である可能性があります（たとえば、クエリを実行する「正当な」URIをヒットする、データを挿入/更新/削除する）-数千から数百万の異なるIPアドレスからの数千または数百万のリクエストがサイトを膝。あるいは、一部のサービスは実行に非常に費用がかかるため、わずかな要求だけがDOSを引き起こす可能性があります-本当に高価なレポートだと思います。したがって、何が起こっているのかをアプリケーションレベルで適切に監視する必要があります。
- どのサービスが呼び出され、どの引数/データが送信されるか（つまり、アプリケーションにログインする）
- どのユーザーが呼び出しを行っており、どのIPから（つまり、アプリケーションにログインしている）
- DBが実行しているクエリおよび挿入/更新/削除
- システム内のすべてのコンピューター（およびVM）の負荷平均、CPU使用率、ディスクI / O、ネットワークトラフィック
- このすべての情報を簡単に取得できること、およびさまざまなコンピューターやサービスからのログを相互に関連付けることができることを確認します（つまり、すべてのコンピューターがntpを使用して時刻同期されていることを確認します）。
アプリケーションにおける賢明な制約と制限。たとえば、次のようになります。
- ロードバランサーのQoS機能を使用して、すべての匿名セッションをクラスター内の個別のアプリケーションサーバーに送信し、ログオンしたユーザーは別のセットを使用します。これにより、アプリケーションレベルの匿名DDOSが貴重な顧客を奪うのを防ぎます
- 強力なCAPCHAを使用して匿名サービスを保護する
- セッションタイムアウト
- レポートなどの特定のタイプのリクエストには、セッション制限またはレート制限があります。必要に応じて匿名アクセスをオフにできることを確認してください
- ユーザーが同時セッションの数に制限があることを確認します（ハッキングされたアカウントが100万回ログオンするのを防ぐため）
- さまざまなサービス（トランザクションの使用とレポートの使用など）にさまざまなデータベースアプリケーションユーザーを配置し、データベースリソース管理を使用して、あるタイプのWeb要求が他のすべての要求を圧倒しないようにします。
- 可能であれば、これらの制約を動的にするか、少なくとも構成可能にします。このようにして、攻撃を受けている間、ユーザーごとに1つのセッションのみを使用し、匿名アクセスを行わないなど、攻撃的な一時制限を設定できます（攻撃の「抑制」）。これは確かに顧客にとっては素晴らしいことではありませんが、まったくサービスを提供しないよりははるかに優れています。
最後に、大事なことを言い忘れましたが、DOS応答計画ドキュメントを作成し、これをすべての関係者（ビジネス、管理、SW開発チーム、ITチーム、セキュリティの専門家）に内部でレビューしてもらいます。ドキュメントを作成するプロセスにより、あなたとあなたのチームは問題について考え、最悪の事態が休日の午前3時に発生した場合に備えて準備するのに役立ちます。ドキュメントは（とりわけ）カバーする必要があります：
- 何が危険にさらされているか、そしてビジネスへのコスト
- 資産を保護するために講じられた措置
- 攻撃の検出方法
- 計画された対応とエスカレーション手順
- システムとこのドキュメントを最新の状態に保つためのプロセス
それで、前文はさておき、ここにいくつかの具体的な答えがあります：
DDOSは通常、サーバーレベルでブロックされますよね？
実際にはそうではありません-最悪のDDOS攻撃のほとんどは低レベル（IPパケットレベル）であり、DDOS攻撃を処理するために開発されたルーティングルール、ファイアウォール、およびセキュリティデバイスによって処理されます。
PHPレベルでそれをブロックする方法、または少なくともそれを減らす方法はありますか？
一部のDDOS攻撃は、アプリケーション自体を狙っており、有効なURIとHTTPリクエストを送信します。リクエストの割合が上がると、サーバーが苦労し始め、SLAが停止します。この場合、PHPレベルでできることがいくつかあります。
アプリケーションレベルの監視：各サービス/ページが何が起こっているかを確認できる方法でリクエストをログに記録するようにします（これにより、攻撃を軽減するためのアクションを実行できます）。いくつかのアイデア：
ログツール（またはExcelなど）に簡単にロードできるログ形式を用意し、コマンドラインツール（grep、sed、awk）で解析します。DDOSは数百万行のログを生成することを忘れないでください。何が起こっているのかを理解するために、（特にURI、時間、IP、ユーザーに関して）ログをスライスアンドダイスする必要があり、次のようなデータを生成する必要があります。
- アクセスされているURI
- どのURIが高率で失敗しているのか（攻撃者が攻撃している特定のURIの可能性のある指標）
- どのユーザーがサービスにアクセスしているか
- 各ユーザーがサービスにアクセスしているIPの数
- 匿名ユーザーがアクセスするURIは何ですか
- 特定のサービスに使用されている引数
- 特定のユーザーのアクションを監査する
各リクエストのIPアドレスをログに記録します。これを逆引きしないでください-皮肉なことに、これを行うコストは攻撃者にとってDDOSを容易にします
- URIとHTTPメソッド全体をログに記録します（例：「GEThttp ：//example.com/path/to/service？arg1 = ddos」）。
- 存在する場合はユーザーIDをログに記録します
- 重要なHTTP引数をログに記録する
賢明なレート制限：特定のIPまたはユーザーが特定の期間に実行できるリクエストの数に制限を実装できます。正当な顧客が1秒あたり10を超えるリクエストを行うことはできますか？匿名ユーザーは高価なレポートにアクセスできますか？
匿名アクセス用のCAPTCHA：すべての匿名リクエストにCAPTCHAを実装して、ユーザーがDDOSボットではなく個人であることを確認します。
DDOS攻撃を阻止するための最速かつ最も一般的な方法は何ですか？
恐らく最速は恐喝に屈することですが、これは望ましくないかもしれません。
それ以外の場合、最初に行うことは、ホスティングおよび/またはCDNプロバイダーに連絡して、それらと連携することです（連絡がない場合は、何が起こっているのかをすでに尋ねています...）。DDOSが発生すると、ホスティングプロバイダーの他の顧客に付随的な影響を与える可能性があり、プロバイダーは、単にリソースを保護するためにサイトをシャットダウンするというかなりのプレッシャーにさらされる可能性があります。ログ（すべての情報）をプロバイダーと共有する準備をしてください。これらのログは、ネットワークモニターと組み合わされて、攻撃をブロック/軽減するのに十分な情報を提供する場合があります。
DDOSを期待している場合は、提供できる保護のレベルでホスティングプロバイダーを認定することをお勧めします。DDOSの経験と、それを軽減するためのツールが必要です。ツール、プロセス、およびエスカレーション手順を理解してください。また、ホスティングプロバイダから持ってサポートするかについて尋ね、その上流のプロバイダ。これらのサービスは、より多くの前払いまたは月額費用を意味する場合がありますが、これは保険契約として扱います。
攻撃を受けている間は、ログを取得してマイニングする必要があります。攻撃のパターンを試してみてください。匿名アクセスをオフにし、攻撃を受けているサービスを制限することを検討する必要があります（つまり、サービスのアプリケーションのレート制限を下げる）。
運が良ければ、固定された小さな顧客ベースがある場合は、有効な顧客のIPアドレスを特定できる可能性があります。この場合、しばらくの間、ホワイトリストアプローチに切り替える可能性があります。新しいIPからアクセスする必要がある場合に電話できるように、すべての顧客がこれが行われていることを知っていることを確認してください:)
Doug McCleanは、https：//stackoverflow.com/a/1029613/1395668でいくつかの素晴らしいアドバイスをしています。