如何用nginx日志排查DDoS攻擊

通過Nginx日志排查DDoS攻擊是一個系統性的過程，涉及多個步驟和工具。以下是一個詳細的指南，幫助你有效地識別和應對DDoS攻擊：

準備工作

• 安裝Nginx：確保服務器上已安裝Nginx。
• 了解基本網絡知識：熟悉TCP/IP協議、防火墻等基礎知識。

理解DDoS攻擊原理

• 攻擊類型：SYN Flood、UDP Flood、ICMP Flood、HTTP Flood。
• 防御策略：限流、過濾、分散負載。

配置Nginx進行限流

• 配置HTTP限流：在Nginx配置文件中添加限流指令。

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
    server {
        listen 80;
        server_name example.com;
        location / {
            limit_req zone=one burst=5 nodelay;
            # 其他配置...
        }
    }
}

• 測試限流配置：使用ab（Apache Benchmark）工具模擬并發請求測試限流效果。

設置IP黑名單

• 配置IP黑名單：在Nginx配置文件中添加黑名單指令。

server {
    listen 80;
    server_name example.com;
    location / {
        if ($remote_addr ~* (192\.168\.1\.|10\.0\.0\.) ) {
            return 403;
        }
        # 其他配置...
    }
}

• 動態更新黑名單：結合外部腳本或工具，根據日志分析結果動態更新黑名單。

使用GeoIP模塊過濾流量

• 安裝GeoIP模塊：安裝GeoIP數據庫并配置GeoIP過濾。

http {
    geoip_country GeoIP.dat;
    server {
        listen 80;
        server_name example.com;
        location / {
            # GeoIP過濾指令...
        }
    }
}

分析Nginx日志

• 監控訪問量：檢查異常高的訪問量和訪問頻率。
• 分析日志格式：確保日志格式包含必要的字段，如IP地址、請求時間、HTTP狀態碼、請求方法、URL等。
• 使用日志分析工具：ELK Stack（Elasticsearch, Logstash, Kibana）、Splunk、GoAccess等。
• 查找異常IP地址：使用awk或cut命令提取IP地址，并統計每個IP的請求次數。
• 檢查請求模式：分析請求的URL和方法，查找重復的模式或異常的請求類型。
• 監控HTTP狀態碼：統計不同狀態碼的數量，特別是4xx和5xx錯誤碼。
• 設置閾值警報：根據歷史數據設置合理的請求閾值，觸發警報。
• 使用防火墻和安全組：配置防火墻規則，限制單個IP地址的請求速率。

示例腳本

以下是一個簡單的Bash腳本示例，用于統計每個IP地址的請求次數并找出異常高的IP：

#!/bin/bash
LOG_FILE="/var/log/nginx/access.log"
THRESHOLD=1000

awk '{print $1}' $LOG_FILE | sort | uniq -c | sort -nr | while read count ip; do
    if [ "$count" -gt "$THRESHOLD" ]; then
        echo "Possible DDoS attack detected from IP: $ip with $count requests"
    fi
done

防護措施

• 限流和過濾：通過Nginx配置限制請求速率和過濾惡意IP地址。
• 使用專業防護服務：考慮使用專業的DDoS防護服務，如Cloudflare、Akamai等。

通過以上步驟，你可以有效地從Nginx日志中發現潛在的DDoS攻擊，并采取相應的防護措施，確保網絡服務的穩定性和安全性。