我的一个 GCP 实例遭遇 DDoS 攻击。我该怎么办？

Question

我在 GCP 上运行了一个实例，现在正遭受基于负载的 DDoS 攻击。这是一个基于 Debian 的实例，它将流量内部代理到在同一台机器上运行的 Geneweb 守护程序。

我发现服务器只响应了 503 Service Unavailable。我猜想这是因为 Apache 仍在响应，而守护进程无法处理负载。

GCP 的监控显示实例峰值。 GCP 监控

tailf error.log 显示传入流量。 截图控制台

该实例没有负载平衡，只有默认防火墙规则。我对高级网络管理经验不足，而这里需要这方面的经验。

有什么提示或建议吗？

Answer 1

有多种方法可以缓解 DDOS 攻击。以下是您可以考虑的一些要点：1.) 减少 GCE 部署的攻击面 2.) 将内部流量与外部世界隔离 3.) 通过启用基于代理的负载平衡来保护 DDoS 4.) 扩展以吸收攻击 5.) 使用 CDN 卸载进行保护 6.) 部署第三方 DDoS 保护解决方案 7.) App Engine 部署 8.) Google Cloud Storage 使用签名 URL 进行控制访问 9.) API 速率限制 10.) 资源配额 有关更详细的解释，请查看此链接1以供参考。

此外，我不会否认您的实例安装了一些恶意软件，这可能会导致过多的出站流量。不幸的是，这是最常见的情况，由于出站流量，受影响的客户的成本大幅增加。如果您认为可能是这种情况，请遵循以下准则：- 使用防火墙规则拒绝所有传出连接。- 然后调查它是如何被入侵的并分析行为。- 最后采取一些措施：删除恶意软件或重新安装虚拟机（如果有必要），确保您的系统是最新的，并提高其安全性。这里有一个更详细的指南2，关于如何处理此类案件。

此外，本指南3可以帮助您提高 GCP 环境的安全性。

---

Answer 2

检查应用服务器以确定其无响应的原因。可能的原因有很多：无法访问数据库、达到资源限制、崩溃、性能问题。

确认您的 Web 服务器已启用缓存。对于 Apache httpd，缓存来自mod_cache。

将实例放在负载均衡器. 允许对请求进行分析，并可能扩展到更多实例。

激活DDoS 服务。这些提供高容量过滤服务。容量很大时费用可能很昂贵。

寻找Web 应用程序防火墙 (WAF) 领域的产品。这些专门为 HTTP 请求提供高级过滤。可能无法扩展到巨大的 DDoS 规模，但我认为您的应用程序会因请求数量相对较少而崩溃。

我链接到了 GCP 资源，但该建议普遍适用。