DDoS 攻撃は、HTTP リクエストでアプリケーションに過負荷をかけ、トラフィック量を大幅に増加させ、正当なユーザーがアプリケーションにアクセスできないようにすることがあります。このような攻撃は、正当なトラフィックと悪意のあるトラフィックの識別が難しいことが多いので、検出するするのが簡単ではない場合があります。
DDoS 攻撃から ウェブサーバーを保護するには、IIS サーバーを設定して、一定期間に許可されたリクエスト数を超えた人、または許可された同時リクエスト数を超えた人に、アプリケーションへのアクセスをブロックすることをお勧めします。
上記のようにIISでDDoS保護を設定するには、以下のようにします:
- IIS マネージャを起動します。
- ツリービューでウェブサイトを選択し、サイトのホームページのIPアドレスとドメイン制限アイコンをダブルクリックします。
- アクションペインで、Edit Dynamic Restriction設定をクリックします。
- 開いたダイアログ ボックスで、推奨する方法を選択します:同時リクエスト数に基づいて IP アドレスを拒否するか、一定期間の要求数に基づいて IP アドレスを拒否するかを選択します。
- OK をクリックします。
IIS サーバー設定では、特定の IP アドレスからのアプリケーションへのアクセスを制限したり、制限された IP アドレスからアプリケーションにアクセスしようとしたときにサーバーが実行すべきアクションの種類を指定したりすることもできます:
- IIS マネージャを起動します。
- ツリービューでウェブサイトを選択し、サイトのホームページのIPアドレスとドメイン制限アイコンをダブルクリックします。
- アクションペインで、Edit Dynamic Restriction設定をクリックします。
- 開いたダイアログ ボックスで、拒否アクションタイプ ドロップダウン リストから必要なアクションの種類を選択します。
- OK をクリックします。
1 つの IP アドレスから複数のユーザーが複数の HTTP 要求を送信する場合は、IIS サーバーの設定でプロキシ モードを有効にします。そうすることで、プロキシサーバーはx-forward-forwarded-forヘッダーを ウェブサーバーに渡して、ユーザーの識別を助けることができるようになる。
プロキシモードを有効にするには、以下のようにします:
- IIS マネージャを起動します。
- ツリービューでウェブサイトを選択し、サイトのホームページのIPアドレスとドメイン制限アイコンをダブルクリックします。
- アクションペインでEdit Feature 設定をクリックします。
- Edit IP and Domain Restriction 設定ダイアログボックスで、プロキシモードを有効にするを選択します。
- OK をクリックします。
IIS を使用して特定の IP アドレスからのアプリケーションへのアクセスを制限する方法の詳細については、Microsoftのドキュメンテーションを参照してください。
注:大量のトラフィックを処理するためにプロキシモードを使用すると、システムパフォーマンスに影響を与え、正当なユーザーがアプリケーションにアクセスしにくくなる可能性があります。