Google App Engine和dos.xml

我的理解是真正減輕DDoS攻擊的唯一方法是自動化將IP地址/範圍列入黑名單的過程。Google App Engine和dos.xml

Google App Engine（GAE）允許您配置和上傳dos.xml文件，並在任何給定時間將IP地址/範圍指定爲黑名單。

顯然，如果我的網絡應用程序處於精心策劃的DDoS攻擊下，攻擊我的IP地址/範圍將會不斷變化。

GAE多久會允許我更新dos.xml？需要多長時間才能生效？我問，因爲我正在設計一個檢測它認爲是攻擊者的IP地址的AutoBlacklister系統，並且將動態更新dos.xml。如果攻擊者超過100人（GAE將你限制在100個地址/範圍內），那麼只有排名前100的「最差罪犯」將被列入名單。

但是，如果dos.xml只能更新一定的週期性（如每天一次等），如果需要很長時間（超過幾分鐘！）生效，那麼這個系統是非常多的對真實 DDoS無用。

另外，這個問題假設有一種方法來自動上傳dos.xml：有嗎？我想想象有一個安全的URL我可以上傳文件到HttpClient之類的東西，但與GAE，你永遠不知道你將面臨什麼條款/限制！提前致謝！

來源

2012-07-28 IAmYourFaja

不完全相關，但爲了稍後可能節省一些故障排除，[documentation]（https://developers.google.com/appengine/docs/java/config/dos）表示它是'dos.xml' ，而不是'ddos.xml'。 – 2012-07-28 19:11:27

感謝您指出（+1） - OP現在已更新。 – IAmYourFaja 2012-07-28 22:27:35

FWIW，新發布的[GAE防火牆]（https://cloud.google.com/appengine/docs/standard/python/application-security#app_engine_firewall）支持通過（REST）Admin API對防火牆規則進行編程式更新： https://cloud.google.com/appengine/docs/admin-api/reference/rest/v1beta/apps.firewall.ingressRules – 2017-08-26 03:07:38

黑名單IP地址是不是100％的防DDoS攻擊緩解技術爲：

A.）僵屍網絡拒絕服務將使用合法的IP地址（即木馬僵屍網絡），在這種情況下，IP堵塞也會阻止合法訪問用戶。

B.）對於網絡DDoS攻擊（即SYN Flood） - 這種攻擊使用欺騙性IP並且甚至不需要建立完整的雙向連接以使DDoS正常工作，這將毫無作用。（爲了避免這種情況，您需要安裝某種前置反向代理，以防止訪問，直到建立完整的2連接 - >收到ACK。）

對於完全的DDoS保護，您將需要通過投資硬件（太廣泛，因此通常不具有成本效益）或者在前門代理解決方案中實現足夠大的「管道」，這種解決方案將平衡額外的流量，同時允許您保持全面運營（即，雲代理）。

來源

2012-07-29 13:24:27

Google是否負責處理這些問題以防止請求首先進入應用程序？ – 2012-07-29 23:35:47

不是100％確定。我知道他們允許更新但不熟悉他們的內部預防政策。想自己多瞭解一下。 – 2012-07-30 11:45:17

您可以通過AppCfg更新dos.xml。可以在不完全重新部署服務器的情況下更新此文件，這是一個昂貴的過程。據我所知，這個更新的執行頻率沒有限制。

全面部署確實有其描述here限制：

的次數應用程序已經由開發人員上傳。目前的配額是每天1,000。

來源

2012-07-29 01:02:45

Google App Engine和dos.xml

回答

相關問題