BÁO CÁO SURICATA và CÂN BẰNG TẢI PHÒNG CHỐNG DDOS

Tài liệu mô tả cài đặt suricata và thực hiện cân bằng tải chống DDOS

1. BÁO CÁO THỰC NGHIỆM PHƯƠNG PHÁP SURICATA TRONG VIỆC PHÁT
HIỆN PHÒNG CHỐNG DDOS VÀ CÂN BẰNG TẢI HỆ THỐNG
Thông tin về hệ thống:
Sau khi cài đặt pfSense bao gồm package Suricata 6.0.0. Giao diện pfSense:
Cổng mạng WAN 111.111.111.120/24
Mạng LAN: 192.168.11.1
Vùng DMZ: 192.168.12.1
Cấu hình suricata với custom rules trên WAN Interface:
Rules: reject udp any any -> 111.111.111.112/24 80 (msg:"Dau hieu bat thuong co the
web dang bi tan cong"; sid:10002;rev:1; threshold: type both, track by_dst,count 10,
seconds 60;)
Trong đó:
oReject: Đồng thời thực thi alert và drop các packet vi phạm.

2. oUdp: Giao thức sử dụng để phát hiện và phòng chống
oany any -> 111.111.111.112/24 80: Với tất cả từ IP và port bất kỳ nào tới
địa chỉ 111.111.111.112 port 80.
oMsg: hiển thị message
oSid: định danh duy nhất của rule trên hệ thống
oThreshold là ngưỡng để phát hiện cảnh báo bị tấn công. Với lượng count =
10 trong thời gian 60s.
Máy attacker với địa chỉ 111.111.111.121 thực hiện tấn công thông qua phần mềm
LOIC(Low Orbit Icon Connon) với target IP là địa chỉ WAN thông qua port 80 với giao
thức udp và threads = 1000 bằng tốc độ trung bình.

3. Kết quả log phát hiện và chống tấn công trên suricata như sau:
Alert phát hiện tấn công từ IP Source 111.111.111.121 tới IP đích
111.111.111.112
Kết quả block thành công IP có dấu hiện tấn công vào thời gian phát hiện.

5. CÂN BẰNG TẢI (LOAD BALANCING)
Thực hiện trên dual-WebServer(2016)
Sơ đồ hệ thống:
Server 1: 192.168.12.145
Server 2: 192.168.12.146
Load Balancer: 192.168.12.120
Bước 1: Cài WebServer

6. Kết quả:
Tương tự với Server 2 với IP: 192.168.12.146

7. Bước 2: Thực hiện cài đặt và cấu hình Network Load Balancing
Cài đặt Network Load Balancing
Tạo LoadBalancing Cluster với địa chỉ 192.168.12.120

8. Thêm 02 host server vào Cluster

9. Kết quả sau khi cấu hình xong Cluster:
Kiểm tra cấu hình bằng ipconfig trên Server 1 đã có thêm IP của Cluster. Tương tự với
Server 2.

10. Truy cập vào loadbalancing (192.168.12.120):
Kiểm tra tính hoạt động của bộ load balancing
Trong trường hợp bị tấn công dẫn tới 01 server bị down thì hệ thống vẫn đáp ứng nhờ
server còn lại.
Dưới đây là ví dụ khi webserver 1 (192.168.12.145) sập.

11. Ghi nhận server 1 sập trên Network Load Balancing
Tuy vậy service vẫn đảo bảo rằng dịch vụ vẫn hoạt động dựa bộ cân bằng tải
192.168.12.120. lúc này các Webservice thứ 2 là 192.168.12.146 sẽ là primary server
phục vụ các traffic internet.
Kết quả khi truy vấn vào bộ load balancer khi mà server 1 bị sập: