Serverload bei 150 ...

[bayliner]

Habe einen Serverload mit 150 und wenn ich in die Logfiles gucke:

/usr/local/apache/logs/error_log

http://pastebin.com/bZpAUREu


Hab gedacht das ist ein Angriff auf meinen Server und folgendes eingegeben:

netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -nk 1

http://pastebin.com/m32mMjkX


Da ich allerdings mit dem Output dieses Commands nicht sehr bewandert bin frage ich mich was soll das bedeuten diese vielen ähnlichen IPs?

 

[infinitnet]

Wie sehen die Access Logs aus? PCAP (tcpdump -c 10000 -w dump.pcap)? Sieht schon recht eindeutig nach einem DDoS-Angriff aus und 85.237.197.10 hat viel zu viele offene Verbindungen. Alle IPs scheinen auf Areti Internet Ltd. registriert zu sein, was vermuten lässt, dass dort ein ganzer Haufen an Servern kompromittiert wurde und du nun damit angegriffen wirst.

 

[bayliner]

Die Attacken sind derzeit schwächer.

Ich habe auch heraus gefunden was es ist!

https://community.qualys.com/blogs/securitylabs/2011/11/02/how-to-protect-against-slow-http-attacks


Slow HTTP Attacken

 

[virtual2]

http://www.cert.org/blogs/certcc/2009/07/slowloris_vs_your_webserver.html

 

[s24!]

Gegen Slowloris helfen wirklich zwei iptables (maximale Verbindungen auf Port 80 und ein Limit für das Erstellen neuer Verbindungen) und ggf. ein Reverse-Proxy wie NGINX mit Request- und Response-Buffering. Slowloris ist aus meiner Sicht absolut kein ernst zu nehmender Angriff...

 

[dante]

...alternativ mod_qos wenn sowieso schon der httpd verwendet wird.