AG Test: http

<div style="text-align: justify;">Bu notta Apache web sunucusu için belirtilen kurallara göre yasaklama işlemi gerçekleştirerek servis dışı bırakma türündeki saldırılara karşı IP bazlı kısıtlama sağlayan <b>mod_evasive </b>modülünün <b>RedHat </b>tabanlı sistemlerde kurulum uygulaması yapılacaktır.<br /><a name="more"></a><h2>Modül Kurulumu</h2></div><div style="text-align: justify;">Öncelikle gerekli Apache sunucusu için gerekli bağımlı paketlerinin kurulumu gerçekleştirilir.  </div><h4># yum install httpd-devel</h4>Yum ile <b>EPEL </b>paket deposundan aşağıdaki gibi modül kurulumu sağlanabilir.<br /><h4># yum install mod_evasive</h4><div style="text-align: justify;">Alternatif bir yol olarak bağlantıdan<b> mod_evasive</b> paketi indirildikten sonra <b>apxs2 </b>ile kurulumu gerçekleştirilir.</div><h4><div style="text-align: justify;"># cd /usr/src</div># wget wget http://www.zdziarski.com/blog/wp-content/uploads/2010/02/mod_evasive_1.10.1.tar.gz<br /># tar xzf mod_evasive_1.10.1.tar.gz<br /># cd mod_evasive<br /># apxs2 -cia mod_evasive20.c</h4><div style="text-align: justify;">Kaynak koddan kuruldu ise Apache yapılandırma dosyası içerisi (<b><i>/etc/httpd/conf/httpd.conf</i></b>) düzenlenerek modül etkin hale getirilir.</div><h4>LoadModule evasive20_module   /usr/lib/httpd/modules/mod_evasive20.so</h4><div style="text-align: justify;">Paket deposundan kurulum sonrası modülle ilgili yapılandırmanın tutulduğu dosya içerisindeki (<b><i>/etc/httpd/conf.d/mod_evasive.conf</i></b>) parametreler sisteme uygun şekilde ayarlanır.</div><h4><IfModule mod_evasive20.c><br />DOSHashTableSize    3097<br />DOSPageCount        2<br />DOSSiteCount        50<br />DOSPageInterval     1<br />DOSSiteInterval     1<br />DOSBlockingPeriod   60<br />DOSEmailNotify admin@sirket.com<br />DOSLogDir   "/var/lock/mod_evasive"<br /></IfModule></h4>Beyaz liste oluşturarak istenen IP adreslerinin kontrol haricinde tutulması sağlanabilir:<br /><h4>DOSWhitelist<span class="Apple-tab-span" style="white-space: pre;"> </span>127.0.0.1<br />DOSWhitelist<span class="Apple-tab-span" style="white-space: pre;"> </span>127.0.0.*</h4>Değişikliklerin etkin olması için Apache servisi yeniden başlatılmalıdır.<br /><h4># /etc/init.d/httpd restart</h4><div>Kurulum sonrası test için arşiv dosyası içerisinde gelen <b>test.pl </b>betiği kullanılabilir.</div><div><h4># ./test.pl<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 200 OK<br />HTTP/1.1 403 Forbidden<br />HTTP/1.1 403 Forbidden<br />HTTP/1.1 403 Forbidden</h4><div>Apache log dosyasında durum şu şekilde gözükmektedir:</div><div><h4><span style="font-size: x-small;"># tail -f /var/log/httpd/error_log<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/<br />[Tue Apr 12 17:02:22 2012] [error] [client 192.168.0.2] client denied by server configuration: /var/www/html/</span></h4></div><h2>IPtables Kullanan Betiğin Entegrasyonu</h2><div style="text-align: justify;">Her ne kadar istemciler bu şekilde bloklanarak <b>HTTP 403</b> hata sayfası ile karşılaşsalar da bu durum bağlantı tutulduğu her halükarda sistem kaynağının tüketilmesine yol açacaktır. Bu durumda <b>DOSSystemCommand</b>    parametresi yardımıyla aşağıdakine benzer bir betik çalıştırılarak belirlenen IP adreslerinden gelen paketlerin belirli bir süre boyunca <b>IPtables </b>tarafından düşürülmesi sağlanabilir.</div></div><h4>DOSSystemCommand "sudo /etc/local/scripts/yasak.sh %s"</h4>Burada çalıştırılmak istenen betik <b>yasak.sh</b> şu şekilde olabilir:<br /><h4>#!/bin/sh<br />IP=$1<br />IPTABLES=/sbin/iptables<br />$IPTABLES -A banned -s $IP -p TCP --dport 80 -j DROP<br />echo "$IPTABLES -D banned -s $IP -p TCP --dport 80 -j DROP" | at now +1 hours</h4><blockquote class="tr_bq">Betiğin Apache kullanıcısı tarafından çalıştırılabildiği kontrol edilmelidir.</blockquote><div style="text-align: justify;">IPtables kullanılarak 60 saniye içerinde 20 bağlantıdan fazlasını kurmaya çalışan IP adresinin yasaklanması için aşağıdaki gibi bir kural girilmesi yeterlidir.</div><h4># iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --set<br /># iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --update --seconds 60  --hitcount 20 -j DROP<br /># service iptables save</h4>

Apache için DDoS önlemi olarak mod_evasive ve IPtables kullanımı

Bu notta Apache web sunucusu için belirtilen kurallara göre yasaklama işlemi gerçekleştirerek servis dışı bırakma türündeki saldırılara karş...