Como verificar se o seu servidor Linux está sob ataque DDoS?

Uma pergunta que muitos responsáveis pela TI nas empresas se perguntam é, como verificar se servidores estão recebendo ataque de DDoS. Como havia já informado no artigo anterior, receber ataque de DDoS atinge tanto com servidores com distribuições Linux (REDHAT, openSUSE, UBUNTU, CENTOS, DEBIAN) como na plataforma WINDOWS.

Estaremos auxiliam os profissionais de TI a detectarem maneiras rápidas de verificar se seus servidores LINUX estão recebendo ataque do tipo DDoS, através de comandos simples porem eficazes.

Existem vários meios para executar ataques DDoS, desde inundações HTTP até conexões persistentes do Slowloris. Embora (diferindo) amplamente em seus métodos, [quase] todos eles exigem conexões com o servidor; e muitos deles. A boa notícia é que a maioria dos ataques pode ser detectada usando alguns comandos simples, que não apenas indicam que um DDoS está acontecendo, mas também fornecem as informações que você pode usar para ajudar a atenuar esses ataques.

O que é DDoS?

Os ataques distribuídos de negação de serviço, na maioria das vezes, têm um objetivo – tornar o servidor inacessível. Os ataques foram projetados para sobrecarregar seus recursos, consumir toda a conexão / largura de banda / taxa de transferência disponível e, geralmente, impedir o funcionamento do servidor. Para fazer isso facilmente, as inundações de conexão são o principal objetivo. Forneça a um servidor mais conexões do que ele pode suportar (mesmo os servidores saudáveis não podem lidar com o número de conexões que um DDoS pode oferecer) e algumas ou todas as opções acima começam a acontecer. Mas, como são conexões ativas, você pode ver essas conexões.

Primeiro é dar uma olhada na carga no seu servidor. Algo tão simples quanto o tempo de atividade ou os principais comandos fornecerá uma boa ideia da carga do servidor. O que é uma carga aceitável? Isso depende dos recursos da CPU (threads disponíveis), mas a regra comum é de 1 ponto por thread.

Comandos para verificar o ataque DDoS no Linux

Você pode encontrar isso com o comando grep processor /proc/cpuinfo | wc -l que retornará o número de processadores lógicos ou threads. Durante um DDoS, você pode ver a carga em dobro, triplo ou mais, acima da carga máxima que deveria ter.

Assim como ao dirigir, o percurso de A a B será lento se houver muito tráfego. Diferente do acima, às vezes o servidor responde bem em uma conexão de back-end como IPMI, mas fica lento ao se conectar por uma interface pública. Você deseja verificar o tráfego da sua rede e pode fazê-lo com uma das várias ferramentas. Essa lista inclui nload, bmon, iftop, vnstat, ifstat… Depende do seu sistema operacional, mas tudo pode ser instalado através do seu gerenciador de pacotes (apt, yum, etc.)