DDoS seli
DDoS seli SysAdmin Crisis'in ilk olayıdır: müşteri olmayan adreslerden gelen trafik ve kızaran bant genişliği barı. Log imzasını öğren.
Son güncelleme:
Sel, oyunun öğrettiği ilk olaydır ve gece birde çıkabilen tek olaydır. Trafik müşteri olmayan adreslerden gelir, bant genişliği barı dolar ve onun arkasındaki her şey acı çekmeye başlar.
Ne yapar
Saldırı hepsi bir anda gelmek yerine gerçek zamanda yaklaşık on beş saniyede tırmanır; yani ilk tuhaf satırla ilk kırmızı bar arasında bir pencere bulursun. Tepe noktasında filonun toplam bant genişliği kapasitesinin biraz altını hedefler — bu da kapasitenin önemli olduğu, büyük bir filonun gerçekten daha fazlasını soğurduğu anlamına gelir.
Talep kapasitenin yaklaşık 1,35 katını geçtiğinde arkadaki makineler doygunluğa
gider: CPU %99'a tırmanır, gecikme yükselir ve kabaca her on beş saniyede bir
hedef daha DOWN düşer.
Log imzası
Sel kendini adıyla söylemez; belirtiyi kenar makinelerde kernel ve monit satırları olarak görürsün. Aşağıdaki satırlar örnektir, değerler her gece değişir:
03:11:42 web-02 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 443. Sending cookies. Check SNMP counters.
03:11:45 web-02 monit[612]: 'web-02' cpu usage of 94% matches resource limit [cpu usage > 90.0%]
03:11:49 web-02 kernel: nf_conntrack: nf_conntrack: table full, dropping packet
Kaynağı bu satırlar söylemez. Kimin istek gönderdiğini netstat
ve web erişim günlüğü gösterir; günlüğü grep, awk ve sort | uniq -c ile
özetlemek bu olayın asıl işidir. Oyundaki her adres RFC 5737 dokümantasyon
bloklarından gelir — 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 —
dolayısıyla bu blokların dışındaki bir adres asla saldırgan değildir.
Dokunmazsan
Önce bant genişliği doyar, sonra CPU, sonra makineler teker teker düşmeye başlar. Düşen sunucu yapışkandır: kendiliğinden geri gelmez. Ve çözülmemiş bir olay, hoşgörü penceresi dolduğunda SLA borcu biriktirmeye başladığı için görmezden geldiğin bir sel uptime'a iki kez mal olur — bir kez düşürdüğü makinelerle, bir kez saatle. Bkz. eskalasyon ve SLA.
Ayırt etme
| Benzeyen | Ayıran |
|---|---|
| Kaçak süreç | Selin CPU baskısı filo genelindedir ve kernel'den SYN uyarılarıyla gelir; kaçak süreç tek makinede tek adlı bir süreçtir. |
| Bellek sızıntısı | Sızıntı bant genişliğini değil RAM'i tırmandırır ve hiçbir trafik imzası göstermez. |
| Aşırı ısınma | Isı bir selin ardından ikincil etki olarak gelebilir. İkisi birden koşuyorsa sıcaklık sebep değil, belirtidir. |
Ne zaman çıkar
| En erken gece | 1 — aynı zamanda öğreticinin ikinci dersi |
| Gerektirir | filoda en az bir web makinesi |
| Aynı anda | tek sel, asla iki tane |
| Varyant | gece 6'dan itibaren sel dağıtık gelebilir: tek adres yerine üç RFC 5737 bloğuna yayılmış beş kaynak |
Dağıtık varyanta tohumlu PRNG karar verir, yani aynı tohum her seferinde aynı geceyi üretir — bkz. determinizm ve tohumlar.