DDOS攻擊ASP.NET與狀態服務器會話

Question

無法在任何地方找到此問題...

使用ASP.NET 3.5，我有3個Web服務器，在Web場中使用ASP.NET狀態服務器一個不同的服務器）。

所有頁面使用會話（他們閱讀和做更新會話）

問題：我的網頁容易出現DDOS攻擊，它很容易攻擊，只要到任何頁面，並按住「F5」鍵持續30-60秒，並且請求將堆積在所有Web服務器中。

我看過，如果你多次調用會話，每次都會LOCK會話，因此另一個請求必須等待得到同一個用戶的會話，這個等待，最終會導致DDOS。

我們的解決方案已經非常原始，從防止（主頁面，自定義控件）調用會話並且只允許頁面調用，添加JavaScript禁用的F5鍵。

我剛剛意識到ASP.NET會話很容易發生這樣的DDOS攻擊！

任何人都面臨類似的問題？任何全球優雅的解決方案？請不要共享 感謝

Answer 1

檢查：

Dynamic IP Restrictions： 動態IP限制擴展IIS提供IT專業人員和主機託管服務提供商可配置模塊，可以幫助減輕或服務攻擊拒絕塊或通過Brute-密碼破解通過暫時阻止HTTP客戶端的因特網協議（IP）地址，這些客戶端遵循可能有助於其中一種攻擊的模式。可以對此模塊進行配置，以便可以在Web服務器或網站級別執行分析和阻止。

此外，檢查：

DoS Attack： 大多數站點/數據中心將控制（d）通過硬件而不是軟件DOS攻擊。防火牆，路由器，負載均衡器等。在IIS的應用程序級別上使用它並不是有效的或者不合理的。我不希望像這樣放慢IIS的速度。

此外，DDOS預防是一個複雜的設置，甚至死鎖硬件盒只是爲了處理它與不同的規則和分析，他們需要大量的處理能力。

看看您的網絡環境設計並查看設置，看看您的硬件提供了哪些保護措施，以及是否有問題查看專用硬件解決方案。您應該儘快在鏈中阻止DDOS攻擊，而不是在Web服務器級別結束。

Answer 2

那麼，爲最優雅的解決方案;它必須在network level上完成。 由於「差不多」不可能將DDOS攻擊與有效的會話流量區分開來，因此您需要運行網絡流量的學習算法;大多數企業級Web應用程序都需要在網絡級別使用DDOS防禦程序。這些對於DDOS而言是相當昂貴且更穩定的解決方案。你可能會問你的數據中心，如果他們有一個DDOS防衛硬件，並且他們有，他們可以把你的服務器流量放在設備後面。 這兩者的市場上的主要競爭對手：

http://www.arbornetworks.com/

http://www.riorey.com/

Answer 3

我們必須在工作中同樣的問題。它不解決尚未但是我們在看兩個解決方法是：

1. 更改會話狀態provider，使其不會鎖定 會議。如果您的應用程序邏輯允許這樣做...
2. 升級會話狀態服務器以使其更快（例如SQL 2016內存中會話狀態）。這使用戶難以解決問題，並意味着您的應用程序應該恢復得更快。