Trazendo uma resposta mais consistente e atualizada sobre o assunto, porém, sem descartar tudo que @raonibs disse, atualmente o mod_security é suficiente para te proteger contra ataques DoS e Brute force. Então você pode economizar em mais um modulo e se desfazer do mod_evasive, que hoje é um módulo desatualizado.
Ratelimit e DoS Protection
Depois de muitos testes, monitoramento e estudos, criei a regra abaixo, o funcionamento é simples, primeiro limita o acesso a 1 por segundo quando o acesso passa de 1000 conexões no minuto (este é um valor alto para evitar falso/positivo, mas você pode editar de acordo com sua infra-estrutura), envia o erro 429 e Retry-After
para alertar bots de pesquisa e informar para tentar novamente após 10 segundos. Se o ataque DoS continuar, derruba a conexão por 60 segundos.
Em suma, este código é um ratelimit com proteção contra DoS.
Funciona muito bem, foi testado com as ferramentas de stress mais conhecidas. Mas não tem efeito sobre ataques DDoS, e pode ter um efeito negativo em alguns casos de ataques em larga escala (mas esse é um assunto para outro tópico).
# Ratelimit - DoS Protection
SecAction initcol:ip=%{REMOTE_ADDR},pass,nolog,id:'5000750'
# conta requisições por segundo por ip
SecAction "phase:5,id:'5000751',deprecatevar:ip.rlimit=1/1,pass,nolog"
# ignora requisição de localhost ou algum outro ip
SecRule REMOTE_ADDR "^123\.45\.67\.89$" "phase:1,id:'5000740',nolog,allow"
# se as requisições passarem de 100 (var dos>100), derruba a conexão (útil se você usa algum proxy, tipo cloudflare)
SecRule ip:dos "@gt 100" "phase:2,id:'5000752',pause:300,drop,setenv:RATELIMITED,skip:2,log,msg:'IP address blocked - DoS Attack'"
# se as requisições passarem de 1000 (var rlimit>1000), nega a conexão e retorna http 429, e aumenta a var dos em um (expira em 60 segundos)
SecRule ip:rlimit "@gt 1000" "phase:2,id:'5000753',pause:300,deny,setvar:ip.dos=+1,expirevar:ip.dos=60,status:429,setenv:RATELIMITED,skip:1,nolog"
# aumenta a var rlimit em um (expira em 30 segundos)
SecAction "phase:2,id:'5000754',pass,setvar:ip.rlimit=+1,expirevar:ip.rlimit=30,nolog"
Header always set Retry-After "30" env=RATELIMITED
ErrorDocument 429 "Too Many Requests. Calm down!"
Brute Force
Abaixo é um exemplo de regra para proteção contra Brute force no Wordpress, existem muitos exemplos espalhados pela internet, fiz algumas modificações nesse código para funcionar nas versões mais recentes do mod_security e diversos testes, incluindo com a famosa ferramenta WPscan. Também funciona muito bem.
<Locationmatch "/wp-login.php">
# Setup brute force detection.
# React if block flag has been set.
SecRule user:bf_block "@gt 0" "deny,status:401,log,id:5000135,msg:'ip address blocked for 5 minutes, more than 15 login attempts in 3 minutes.'"
# Setup Tracking. On a successful login, a 302 redirect is performed, a 200 indicates login failed.
SecRule RESPONSE_STATUS "^302" "phase:5,t:none,nolog,pass,setvar:ip.bf_counter=0,id:5000136"
SecRule RESPONSE_STATUS "^200" "phase:5,chain,t:none,nolog,pass,setvar:ip.bf_counter=+1,deprecatevar:ip.bf_counter=1/180,id:5000137"
SecRule ip:bf_counter "@gt 15" "t:none,setvar:user.bf_block=1,expirevar:user.bf_block=300,setvar:ip.bf_counter=0"
</locationmatch>
Você pode alterar /wp-login.php
para qualquer página que quiser proteger.
SYN Flood
Também criei uma proteção contra SYN Flood e DoS para apache usando iptables, compatível com WHM e especialmente para quem usa CSF.
#!/bin/sh
/sbin/iptables -N BLOCK_IP
/sbin/iptables -N SYN_CHECK
/sbin/iptables -N DOS_CHECK
/sbin/iptables -N SYN_ATTACK
/sbin/iptables -N DOS_ATTACK
#
# primeiro verifica se o IP esta bloqueado
/sbin/iptables -A INPUT -j BLOCK_IP
# derruba se estiver bloqueado
/sbin/iptables -A BLOCK_IP -p tcp -m multiport --dport 80,443 -m recent --name BlockedIP --rcheck --seconds 30 -j DROP
/sbin/iptables -A BLOCK_IP -p udp -m multiport --dport 80,443 -m recent --name BlockedIP --rcheck --seconds 30 -j DROP
# se passou o tempo desbloqueia
/sbin/iptables -A BLOCK_IP -p tcp -m multiport --dport 80,443 -m recent --name BlockedIP --remove -j RETURN
/sbin/iptables -A BLOCK_IP -p udp -m multiport --dport 80,443 -m recent --name BlockedIP --remove -j RETURN
#
# verifica: se existe mais de 100 conexões simultâneas com status SYN - ignora IP do gateway
/sbin/iptables -A INPUT -p tcp -m multiport --dport 80,443 --syn ! -s 123.45.67.89 -m connlimit --connlimit-above 100 -j SYN_CHECK
# verifica: conexão feita e posteriormente a frequencia - ignora IP do gateway
/sbin/iptables -A INPUT -p tcp -m multiport --dport 80,443 ! -s 123.45.67.89 -m state --state NEW -j DOS_CHECK
/sbin/iptables -A INPUT -p udp -m multiport --dport 80,443 ! -s 123.45.67.89 -m state --state NEW -j DOS_CHECK
#
# verifica se o ataque é frequente (no caso de erro: --hitcount não pode ser maior que 100 - aumente o limite de pacotes em ip_pkt_list_tot.conf)
/sbin/iptables -A SYN_CHECK -m recent --update --seconds 1 --hitcount 70 --name RATE -j SYN_ATTACK
/sbin/iptables -A DOS_CHECK -m recent --update --seconds 1 --hitcount 70 --name RATE -j DOS_ATTACK
# caso o ataque seja frequente, bloqueia por 30 segundos e gera log
/sbin/iptables -A SYN_ATTACK -j LOG --log-prefix "BLOCK SYN ATTACK: " --log-level 6
/sbin/iptables -A SYN_ATTACK -m recent --set --name BlockedIP -j DROP
/sbin/iptables -A DOS_ATTACK -j LOG --log-prefix "BLOCK DOS ATTACK: " --log-level 6
/sbin/iptables -A DOS_ATTACK -m recent --set --name BlockedIP -j DROP
#
# se o ataque não é frequente, libera
/sbin/iptables -A SYN_CHECK -m recent --set --name RATE -j ACCEPT
/sbin/iptables -A DOS_CHECK -m recent --set --name RATE -j ACCEPT
#
Muitas pessoas utilizam o fail2ban para proteger contra SYN Flood, porém, nem sempre usar fail2ban é algo simples, especialmente para quem já usa CSF. Esse script foi testado e até a data desta postagem, funciona muito bem. Ele funciona para complementar os SYN cookies, que devem estar ativados em seu sistema operacional.
Para rodar é muito simples, basta acrescentar o código nas regras do seu iptables /etc/sysconfig/iptables
, ou se você usa CSF basta colocar em /usr/local/csf/bin/csfpre.sh
e digitar no terminal csf -r
.
Anti-Slowloris
Para proteger o Apache contra Slow DoS ataques, você deve usar o plugin mod_reqtimeout, eu uso a configuração abaixo, 10 segundos com 1 segundo acrescido a cada 500 bytes à espera de uma conexão é suficiente na maioria dos casos, são raros os falso/positivo:
<IfModule mod_reqtimeout.c>
RequestReadTimeout header=10-40,MinRate=500 body=10,MinRate=500
</IfModule>
A regra abaixo para mod_security foi tirada da internet (e é opcional, apenas mod_reqtimeout já é suficiente), mas funciona muito bem contra esse tipo de ataque, deve ser usado em conjunto com ModReqtimeout.
SecRule RESPONSE_STATUS "@streq 408" "phase:5,t:none,nolog,pass,
setvar:ip.slow_dos_counter=+1, expirevar:ip.slow_dos_counter=60, id:'5000770'"
SecRule IP:SLOW_DOS_COUNTER "@gt 5" "phase:1,t:none,log,drop,
msg:'Client Connection Dropped due to high number of slow DoS alerts', id:'5000771'"
A regra acima identifica quando o servidor HTTP dispara um código de status 408 e rastreia quantas vezes isso aconteceu enquanto mantém os dados em armazenamento persistente com base no IP para que ele possa correlacionar entre as solicitações. Se esse evento acontecer mais de 5 vezes em 60 segundos, solicitações subsequentes para esse endereço IP serão descartadas pelo mod_security por um período de 1 minuto.
Mas, preste atenção!
Balançadores, Varnish Cache, Nginx
Se sua infraestrutura possui balançadores, Varnish Cache, Nginx ou qualquer outro tipo de gateway, você vai precisar usar o mod_remoteip e configurar o X-Forwarded-For
corretamente no cabeçalho para o apache conseguir enxergar o IP real do usuário, do contrário, as regras acima não irão funcionar e podem acabar bloqueando o IP do seu gateway.
Também é importante saber que você precisa criar ratelimits para o seus gateways, apesar da minha regra derrubar a conexão indesejada, no caso do gateway, se ele for ignorado pela regra (o que é o correto), a requisição vai passar e só durante resposta do apache que a conexão será derrubada, não impedindo um ataque DoS (mas poupa recursos do processamento da página, o que é bom de qualquer forma).
Cloudlare
Se você usa ou pretende usar Cloudflare, você também pode configurar o IP real do usuário usando o mod_remoteip através do cabeçalho CF-Connecting-IP
, ou usar o mod_cloudflare.
Firewall
É muito interessante você possuir um Firewall para trabalhar com o mod_security, eu recomendo o CSF (Configserver Security & Firewall).
Com ele basta definir o LF_MODSEC =
no arquivo de configuração.
O valor de configuração LF_MODSEC
é o número de 'hits' necessários para adicionar o IP ofensivo a ser bloqueado pelo firewall. Definir LF_MODSEC
como 5 seria bloquear o endereço de IP após 5 bloqueios no mod_security dentro do período de tempo definido em LF_INTERVAL
, que é definido em uma hora (3600 segundos) por padrão.