Bezpieczeństwo Debiana: wiele połączeń na porcie 80

Mam serwer Debiana (jądro: 2.6.32-5-amd64).

Zwykle uruchamiam na nim serwer pomostowy, ale ostatnio zaczęło się z nim robić mnóstwo połączeń. Nie powinien uzyskać całego tego ruchu, ponieważ jest to dość nieznany serwer.

Bieganie:

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

Wysyła setki adresów IP. Próbowałem dodać je wszystkie do listy rozwijanej iptables, ale wciąż pojawiają się nowe adresy IP.

Potem poszedłem naprzód i zatrzymałem Jetty, a wszystkie połączenia zniknęły. Aby upewnić się, że nie jest to luka w zabezpieczeniach w Jetty, uruchomiłem apache2 i wszystkie połączenia zaczęły się od razu.

Wygląda na to, że ludzie używają go jako serwera proxy, używając urlsnarf, który wyświetla mnóstwo wychodzących żądań na forach, stronach reklamowych, a ty nazywasz to. Robi tak wiele żądań, że procesor przeskakuje w górę i w dół, a ostatecznie serwer ulega awarii.

Czy ktoś wie, jak to zrobić? Wygląda na to, że jakikolwiek serwer znajduje się na porcie 80, to natychmiast się zaczyna.

Czy to atak DDOS? W jaki sposób ludzie używają mojego serwera jako proxy, tylko z listą oprogramowania na porcie 80?

Mam hostdeny zainstalowane i deflate ( http://deflate.medialayer.com/ ), ale problem nadal występuje.

Byłbym bardzo wdzięczny, jeśli podejrzewasz lub masz pomysł, jak zabezpieczyć i naprawić ten problem.

Jeśli muszę podać więcej danych, daj mi znać.

Z góry dziękuję

To nie jest atak DDOS, jeśli przez serwer odbywa się prawdziwy ruch.

To, co opisujesz, nie powinno być możliwe, ale hakerzy wciąż mogli znaleźć sposób. Jeśli serwer został przejęty, istnieje większe prawdopodobieństwo, że atak przyszedł z sieci za pośrednictwem innego zainfekowanego komputera.

Sugerowałbym sformatować dysk tego serwera i ponownie zainstalować całe oprogramowanie. Upewnij się, że jest on zaporą ogniową zarówno z sieci zewnętrznej, jak i wewnętrznej.

Należy również zweryfikować wszystkie komputery w sieci wewnętrznej, które mają dowolny dostęp do tego serwera, a w przyszłości bardziej ograniczyć taki dostęp.

Postępuj zgodnie z poniższymi artykułami dotyczącymi Apache (więcej informacji z pewnością znajdziesz gdzie indziej):

Wskazówki bezpieczeństwa - Serwer HTTP Apache
20 sposobów na zabezpieczenie konfiguracji Apache

Jest wiele artykułów na temat hartowania Linuksa, więc oto tylko kilka:

20 Wskazówki dotyczące bezpieczeństwa
hartowania serwera Linux Lista kontrolna hartowania serwera Linux Red Hat

Nie jest to tak naprawdę na ten temat, ale radzę zaktualizować jądro, ponieważ 2.6.32-5 jest podatne na lokalne rootowanie.

Ale twój serwer może już być zagrożony i być używany jako serwer proxy dla kogoś, jeśli prowadzisz witrynę, sprawdź, czy są to podejrzane strony.

Zainstaluj także oprogramowanie antywirusowe.

Zazwyczaj ataki DDoS pojawiałyby się jako żądania SYN, gdybyś spojrzał na ruch przez program taki jak wireshark

Dzięki za całą uwagę.

W końcu napisałem do mojej firmy hostingowej i otrzymałem nowy zestaw adresów IP, teraz ataki całkowicie ustały.

Nadal jestem ciekaw, jak te ataki zostały wykonane, więc jeśli ktoś ma jakiś wkład - nadal jestem zainteresowany dobrą odpowiedzią. Ale na razie problem został dla mnie rozwiązany.

Dzięki jeszcze raz.