modSecurity规则学习（八）——防止CC攻击

modSecurity日志收集：在phase 5阶段处理。

由于CC攻击主要考虑对动态请求的防护，所以要排除静态资源的请求，或者自定义动态请求的后缀或者关键字做接口针对性的防护。

定义需要排除的请求url后缀名称

SecAction \
 "id:900260,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:'tx.static_extensions=/.mvc/ /.jpg/ /.jpeg/ /.png/ /.gif/ /.js/ /.css/ /.ico/ /.svg/ /.webp/'"

 

然后是怎么判断是CC攻击？根据访问频率来定义，某个ip在dos_burst_time_slice的时间（单位秒）内dos_counter_threshold次请求算一次攻击嫌疑，如果超过2次，我们就认定是CC攻击的IP，对该IP封禁，解封时间定义为dos_block_timeout。

例如，定义60s内100次动态请求算一次攻击嫌疑，封禁时间为600s。

SecAction \
 "id:900700,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:'tx.dos_burst_time_slice=60',\
  setvar:'tx.dos_counter_thresh