分析 nginx 网络服务器日志来检测 DDOS 攻击

Question

我最近遭遇了一次 DDoS 攻击。如何分析该时间窗口内的 nginx Web 服务器日志来检测哪一种是 DDoS 攻击吗？我正在使用 Microsoft Azure 基础设施（以防万一）。

我了解日志分析工具，例如洛格利可以使用。但我无法上传日志文件来分析它们 - 我需要将该服务连接到我的实时服务器，然后它会给我一个分析仪表板来使用。

Answer 1

嗯，只有其中一种类型会出现在你的 Nginx 日志中。

首先，如果这是真正的 DDoS，您可能无法采取任何措施。一旦流量到达您的服务器，即使它在防火墙处被阻止或在您的 Web 服务器中被限制，流量也已经消耗了您的网络带宽，您对此无能为力。因此，需要在为您的服务器提供服务的路由设备中“上游”阻止它。

回答您的问题（从您的评论中），您的网络服务器是一个“应用程序”，运行在 OSI 第 7 层。它记录 http 级别的内容，但对 7 以下的网络层一无所知。在您的 DDoS 类型列表中，除“应用程序级攻击”之外的所有其他类型都发生在比 nginx 更低的网络堆栈级别，因此您需要在其他地方寻找有关这些类型攻击的信息。

除非您在攻击发生前配置了此类日志，否则您的服务器上可能没有任何日志可以为您提供有关攻击性质的任何提示。目前，您能做的最好的事情就是为下一次攻击做好准备，确保您的工具箱中有合适的工具，并且您的网络提供商已准备好从其角度缓解攻击。