WHM Ddos gelen siteyi tespit etmek

Bir fikri olan var mı acaba?

acıkcası ben apache status dan cokca ve boyutlu request alan sayfayı dolayısıyla siteyi görüyordum saldırı var dıyordum, sonrada ssh dan bakınca 100% doğrulamış oluyordum.

Apache statustan anlayabilirsiniz, sürekli wait reply yada keep alive açıksa sürekli tek siteye gelen keep alive bağlantılar saldırı ihtimalini yükseltir, bunun haricinde yine whmde mysql processlerde belli bir veritabanı için açılmış yüzlerce sorgu varsa burdanda anlayabilirsiniz, apache yerine litespeed kullanıyorsanız litespeed paneldeki rapor kısmında her sitenin karşısında gelen bağlantı, çalıştırılan bağlantı sayılarından tespit edebilirsiniz.

Hiçbir şey yapmassanız bile whm de daily process log kısmında geç olsada saldırı alan yada aşırı sistem kaynağı tüketen site yaptığı sorgularla birlikte kırmızıya dönüşür.

netstat -tn --inet 2> /dev/null| grep ":80" | awk '/tcp[ ]*[0-9]+[ ]*[0-9]+[ ]+[^ ]+[ ]*[^ ]*/ { print $5; }' | cut -d":" -f1 | sort | uniq -c | sort -n

SHH İle anlık izleyenilirsiniz.

bu komutu yaptığımda 96 tane ip'i var anlamı nedir peki bunun ?

80 portunuza 96 farklı ip üzerinden istek gelmiş demek.

Bu komutla en çok syn bağlantı açan ipleri görebilirsiniz. Ancak her syn isteği saldırı değildir.

netstat -tn --inet 2> /dev/null| grep ":80" | awk '/tcp[ ]*[0-9]+[ ]*[0-9]+[ ]+[^ ]+[ ]*[^ ]*/ { print $5; }' | cut -d":" -f1 | sort | uniq -c | sort -n
komutu ile baktığımda 607 İP' de bende var. Saldırı geldi şu anda ip leri nasıl blogluyoruz toplu bir şekilde fikri olan varmı?