خطة الاستجابة الطارئة لهجمات DDoS

# 1. فحص إمكانية الوصول للخادم
ping -c 5 SERVER_IP

# 2. حالة اتصالات الشبكة
ss -s

# 3. عدد الاتصالات النشطة
ss -ant | wc -l

# 4. أكثر عناوين IP اتصالاً
ss -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

# 5. اتصالات في حالة SYN-RECV
ss -ant state syn-recv | wc -l

# 6. استخدام عرض النطاق
ifstat -i eth0 1 5

# 7. موارد النظام
top -bn1 | head -5
free -h

# مراقبة حركة المرور في الوقت الفعلي
sudo iftop -i eth0 -n

# تحليل عناوين IP المصدر
sudo tcpdump -i eth0 -c 5000 -nn 2>/dev/null | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head -20

# التقاط الحزم للتحليل المفصل
sudo tcpdump -i eth0 -c 50000 -w /tmp/ddos-capture.pcap

# تحديد نوع الهجوم
ss -ant state syn-recv | wc -l
ss -ant state established | wc -l
sudo tcpdump -i eth0 udp -c 1000 -nn -q 2>/dev/null | wc -l
tail -1000 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -10

#!/bin/bash
# emergency-block.sh
ATTACKERS=$(ss -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -50 | awk '$1 > 100 {print $2}')

for ip in $ATTACKERS; do
    iptables -I INPUT -s $ip -j DROP
    echo "تم الحظر: $ip"
done

ipset create blacklist hash:net
for ip in $ATTACKERS; do
    ipset add blacklist $ip
done
iptables -I INPUT -m set --match-set blacklist src -j DROP

sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=65536
sysctl -w net.ipv4.tcp_synack_retries=1
sysctl -w net.netfilter.nf_conntrack_max=2000000
sysctl -w net.core.somaxconn=65536

# تكوين Nginx الطارئ
limit_req_zone $binary_remote_addr zone=emergency:20m rate=5r/s;
limit_conn_zone $binary_remote_addr zone=emergency_conn:20m;

server {
    limit_req zone=emergency burst=10 nodelay;
    limit_conn emergency_conn 20;
    client_max_body_size 1m;
    client_body_timeout 5s;
    client_header_timeout 5s;
}

curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"under_attack"}'

الموضوع: هجوم DDoS - مطلوب استجابة طارئة

IP الخادم: [عنوان_IP]
بداية الهجوم: [التاريخ/الوقت]
نوع الهجوم: [SYN Flood / UDP Flood / HTTP Flood / غير معروف]
التأثير: [انقطاع كامل / تباطؤ جزئي]

الإجراءات المتخذة:
- تم تطبيق قواعد iptables
- تم تفعيل وضع Under Attack في Cloudflare
- تم ضبط معلمات النواة

tcpdump -r /tmp/ddos-capture.pcap -nn | head -100
tcpdump -r /tmp/ddos-capture.pcap -nn | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head -20

# إعادة Cloudflare إلى الوضع العادي
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"medium"}'

# تنظيف قواعد iptables الطارئة
iptables -D INPUT -m set --match-set blacklist src -j DROP
ipset destroy blacklist

# إزالة تكوين Nginx الطارئ
rm /etc/nginx/conf.d/emergency.conf
sudo nginx -t && sudo systemctl reload nginx

#!/bin/bash
THRESHOLD=500
CONNECTIONS=$(ss -ant | wc -l)

if [ $CONNECTIONS -gt $THRESHOLD ]; then
    echo "تحذير: عدد اتصالات مرتفع: $CONNECTIONS" | \
        mail -s "إنذار DDoS - $(hostname)" admin@example.com
    /usr/local/bin/emergency-block.sh
    logger "إنذار DDoS: تم اكتشاف $CONNECTIONS اتصال"
fi