如何利用ASA发现DDOS***以及应急预案

我会带着你远行 2022-10-01 13:00 161阅读 0赞

## 案例分析网络拓扑结构 ##

![案例分析网络拓扑结构][networkTopology.jpg]

## 目的 ##

在阅读完本案例后，可以利用ASA发现并应急处理TCP 泛洪类的DDOS\*\*\*。

## 地址规划 ##

Server C  
真实地址是10.1.1.50  
地址转换后的地址是192.168.1.50

## 案例描述 ##

在一个周一的早上，XYZ公司的网络管理员突然接到员工报障，反映打开位于Web服务器群的Server\_C网页很慢甚至无法打开。接到报障后XYZ公司的管理员马上检查路由器的相关信息，除了入口流量大以外，在路由器侧没有任何异常，此时该管理员将目光投向了ASA。

## 排错工具 ##

1）ASDM  
2）Show 命令

### 如何利用ASA发现并应急处理DDOS\*\*\* ###

1) 通过ASDM发现每秒的TCP连接数突增。

![通过ASDM发现每秒的TCP连接数突增][ASDM_TCP]

2）利用 show perfmon 命令检查连接状态，发现每秒的TCP连接数高达2059个，半开连接数量则是1092个每秒。从公司的日常记录看，此时这两个连接数量属于不正常的范围。

![利用 show perfmon 命令][show perfmon]

3）利用show conn命令察看不正常连接的具体信息，例如源/目的地址以及源/目的端口。在本案例中发现随机的源地址和端口去访问相同的目的地址10.1.1.50的80端口，并且这些TCP的连接都是半开连接属于TCP SYN泛洪\*\*\*。

![利用show conn命令][show conn]

4）利用ASDM发现半开（TCP SYN 泛洪）\*\*\*存在，并且连接数量突增。

![利用ASDM发现半开（TCP SYN 泛洪）\*\*\*存在][ASDM_TCP SYN]

5）利用TCP Intercept机制应急处理TCP的半开连接\*\*\*。利用ACL及Class-Map来分类流量，在Policy-Map下限制最大的半开连接数，在本案例中为100。

![利用TCP Intercept机制应急处理TCP的半开连接\*\*\*][TCP Intercept_TCP]

6) 利用ASDM检查，是否TCP intercept机制起效。由此可见连接数和TCP SYN\*\*\*的曲线都有所下降。所以证明TCP intercept机制生效。但是总连接数还是处于一个不正常的状态。

![利用ASDM检查，是否TCP intercept机制起效][ASDM_TCP intercept]

7）限制每个客户端所能产生的最大连接数从而实现对垃圾连接的限制。

![限制每个客户端所能产生的最大连接数][accessList.jpg]

8）通过ASDM检查当前连接状态。发现连接数开始下降并恢复正常。

![通过ASDM检查当前连接状态][ASDM]

9）利用ASDM跟踪\*\*\*状态。此时\*\*\*还是存在的但是ASA阻断了它们并保护了服务器的运行。

![利用ASDM跟踪\*\*\*状态][ASDM 1]

## 案例结果 ##

经过在ASA上的调试，公司内部职员可以顺利的访问位于Web服务器群 Server\_C。

转载于:https://blog.51cto.com/34340/1749523

[networkTopology.jpg]: /images/20220118/e56ffadb1890431a9107617281267181.png
[ASDM_TCP]: /images/20220118/67260a5658df4da399db1e7de8f22a9a.png
[show perfmon]: /images/20220118/844d50303b5142ab9c1af82363f1c5be.png
[show conn]: /images/20220118/d62f07dc08c14991bc0796bdf62041e4.png
[ASDM_TCP SYN]: /images/20220118/cf9742bf59d349bca6522216140b7dec.png
[TCP Intercept_TCP]: /images/20220118/e3e81aa5a2724b57b92991339daf9202.png
[ASDM_TCP intercept]: /images/20220118/d18acb7d69a540fb98d81e0cfcf46071.png
[accessList.jpg]: /images/20220118/9a7dbe471d924d05aa9ec0340f4cd7d8.png
[ASDM]: /images/20220118/3a96784825334b1086c0daa089e1dd87.png
[ASDM 1]: /images/20220118/9e0a6535c42a498da708020366d6a61e.png