Jump to content

Защита от атак посредством "поведенческих факторов"

Zero108

By Zero108

В последнее время распространение получил вид атаки на сервер посредством накрутки негативных поведенческих факторов. Так как услуга эта дорогая, есть подозрения, что организуют её крупные сетевые продавцы перед днями распродаж. Суть атаки заключается в большом количестве посещений атакуемого сайта ботами. Если посещение меньше 10-12 сек, если запросы не приводят к цели, если нет фокуса пользователя на контенте и т.д., то это расценивается поисковиками как плохой поведенческий фактор. То есть большинству посетителей сайт неинтересен. Соответственно, поисковики понижают положение сайта в поисковой выдаче, иногда отбрасывают сайт на 10-ю страницу и далее.

В российском сегменте большинство атакующих серверов находятся в облачном сервисе https://www.biterika.com/, принадлежащем ООО Biterika Grupp. В сети уже достаточно много жалоб на этот сервис, чтобы говорить об определенной тенденции.

В качестве мер противодействия рекомендуется заблокировать на своем сервере все IP адреса, принадлежащие этому облачному сервису. Также рекомендуется закрыть доступ к облачному сервису Huawei. Ниже приводится типовая схема блокировки.

1. Перейти на whois сервис и определить AS номер облачного сервиса. Например: https://www.nic.ru/whois/?searchWord=109.248.204.0 дает AS 35048.

2. Используя этот AS, номер определить все IP адреса данного облачного сервиса: https://www.enjen.net/asn-blocklist/index.php?asn=35048&type=nginx

3. Использовать типовую блокировку через .htaccess, nginx.conf, фаервол сервера, фаервол на Cloudflare.

4. Сервис Cloudflare даже на бесплатном тарифе дает возможность заблокировать все IP-адреса атакующих серверов по AS номеру. Например, в скриншотах ниже показана блокировка по AS номерам облачных сервисов Biterika и Huawei. 

2888c28232.thumb.jpg.4dd2618ad3cdafa5babfe0c8051b1b7e.jpg 2888c282322.thumb.jpg.f2d933195c8020936d756e0d91400489.jpg

PS. Если вам известны другие облачные сервисы, которые стоило бы заблокировать, пишите в комментариях.

    • Go to записи

    User Feedback

    Recommended Comments

    pawok Newbie

    pawok

    Новичок

    Спасибо. Дополню, вы можете проверить действительно ли боты на вашем сайте появились от провайдера Biterika. В метрике раздел Посетители - Визиты, в которых ... - ввести по маске IP адреса Biteriki из облачного сервиса, который приведен в статье. В моем случае показало резкий всплеск внутренних переходов именно с этих IP адресов. Пока добавил просто в .htaccess следующий код: 

    Deny from 2.59.50.0/24
Deny from 5.183.130.0/24
Deny from 31.40.203.0/24
Deny from 45.11.20.0/23
Deny from 45.15.72.0/23
Deny from 45.15.236.0/23
Deny from 45.81.136.0/23
Deny from 45.84.176.0/23
Deny from 45.86.0.0/23
Deny from 45.87.252.0/23
Deny from 45.89.16.0/22
Deny from 45.90.196.0/24
Deny from 45.134.180.0/22
Deny from 45.134.252.0/23
Deny from 45.135.32.0/23
Deny from 45.139.125.0/24
Deny from 45.139.176.0/23
Deny from 45.140.52.0/22
Deny from 45.142.252.0/23
Deny from 45.144.36.0/24
Deny from 45.145.116.0/22
Deny from 45.147.192.0/24
Deny from 45.151.145.0/24
Deny from 46.8.10.0/23
Deny from 46.8.14.0/23
Deny from 46.8.16.0/23
Deny from 46.8.22.0/23
Deny from 46.8.56.0/23
Deny from 46.8.106.0/23
Deny from 46.8.110.0/23
Deny from 46.8.154.0/23
Deny from 46.8.156.0/23
Deny from 46.8.192.0/23
Deny from 46.8.212.0/24
Deny from 46.8.222.0/23
Deny from 77.83.84.0/24
Deny from 77.83.148.0/23
Deny from 77.94.1.0/24
Deny from 84.54.53.0/24
Deny from 91.188.244.0/24
Deny from 92.119.193.0/24
Deny from 94.158.190.0/24
Deny from 95.182.124.0/22
Deny from 109.248.12.0/22
Deny from 109.248.48.0/23
Deny from 109.248.54.0/23
Deny from 109.248.128.0/23
Deny from 109.248.138.0/23
Deny from 109.248.142.0/23
Deny from 109.248.166.0/23
Deny from 109.248.204.0/23
Deny from 176.53.186.0/24
Deny from 185.181.244.0/22
Deny from 185.181.247.0/24
Deny from 188.130.128.0/23
Deny from 188.130.136.0/23
Deny from 188.130.142.0/23
Deny from 188.130.184.0/22
Deny from 188.130.188.0/23
Deny from 188.130.210.0/23
Deny from 188.130.218.0/23
Deny from 188.130.220.0/23
Deny from 192.144.31.0/24
Deny from 193.53.168.0/24
Deny from 193.58.168.0/23
Deny from 194.32.229.0/24
Deny from 194.32.237.0/24
Deny from 194.34.248.0/24
Deny from 194.35.113.0/24
Deny from 194.156.92.0/24
Deny from 194.156.96.0/23
Deny from 194.156.123.0/24
Deny from 212.115.49.0/24
Deny from 213.226.101.0/24
Deny from 45.11.21.0/24
Deny from 46.8.106.0/24
Deny from 95.182.126.0/23
Deny from 45.140.54.0/23
Deny from 188.130.129.0/24
Deny from 95.182.127.0/24
Deny from 188.130.189.0/24
Deny from 77.83.149.0/24
Deny from 193.58.169.0/24
Deny from 109.248.14.0/24
Deny from 188.130.187.0/24
Deny from 109.248.49.0/24
Deny from 188.130.211.0/24
Deny from 188.130.137.0/24
Deny from 45.15.73.0/24
Deny from 45.86.1.0/24
Deny from 46.8.155.0/24
Deny from 109.248.55.0/24
Deny from 46.8.193.0/24
Deny from 188.130.143.0/24
Deny from 46.8.23.0/24
Deny from 185.181.245.0/24

     

  • Цитата
    • Zero108 Master

    Zero108

    Актив

    Добавил AS Майкрософт, а также забанены давно облачный сервис Huawei и подсеть Apple.

    AS Huawei: 136907 - 2.73k запросов в сутки. 

    Подсеть Apple: 17.0.0.0/8 - 322 запроса в сутки.

    AS Майкрософт: 8075

    Общая статистика по забаненным для одного домена за сутки:

     

     

     

     

     

    WAF a108.net Ivangorshkovgmail.coms Account Cloudflare - Google Chrome.jpg

  • Цитата
    • Zero108 Master

    Zero108

    Актив

    Ниже также добавлены ASN номера наиболее популярных облачных и обычных хостингов для бана:

    Liquid Web - 32244
    Kamatera - 210329
    Hetzner - 24940
    FastComet - 63949
    InterServer - 19318
    Scala Hosting - 40476
    Google Cloud - 396982
    Amazon Web Services - 16509
    Microsoft Azure - 8075
    SiteGround - 59851
    A2 Hosting - 55293
    Hostwinds - 54290
    Yandex Cloud - 200350
    Mail.ru Cloud Solutions - 47764
    Selectel - 49505


    Обращайтесь в личку за настроечным файлом для фаервола CloudFlare (Чтобы руками не добавлять каждую запись по отдельности, а добавить все сразу. Платно. Всего AS номеров хостингов в списке более 1500).
     

  • Цитата

    • Join the conversation

    You can post now and register later. If you have an account, sign in now to post with your account.
    Note: Your post will require moderator approval before it will be visible.

    Guest
    Добавить комментарий...