Securizando Apache, mitigacion DDOS y limitación de conexiones IPtables

Los módulos de Apache: mod_evasive, mod_antiloris, mod_security, mod_reqtimeout nos ayudan a mitigar y prevenir parcialmente ataques DDoS. También reglas en iptables como las que se pueden ver aquí abajo limitando el throttle en conexiones.

Listado de reglas iptables para colocar en el fichero /etc/ufw/before.rules

### Start HTTP ###

# Enter rule
-A ufw-before-input -p tcp --dport 80 -j ufw-http

-A ufw-before-input -p tcp --dport 443 -j ufw-http

-A ufw-before-input -p tcp --dport 2202 -j ufw-http


# Limit connections per Class C

-A ufw-http -p tcp --syn -m connlimit --connlimit-above 50 --connlimit-mask 24 -j ufw-http-logdrop

# Limit connections per IP

-A ufw-http -m state --state NEW -m recent --name conn_per_ip --set

-A ufw-http -m state --state NEW -m recent --name conn_per_ip --update --seconds 10 --hitcount 20 -j ufw-http-logdrop

# Limit packets per IP

-A ufw-http -m recent --name pack_per_ip --set

-A ufw-http -m recent --name pack_per_ip --update --seconds 1 --hitcount 20 -j ufw-http-logdrop

# Finally accept

-A ufw-http -j ACCEPT

-A ufw-http-logdrop -j DROP

### End HTTP ###

Guias mod_security para Apache:

https://www.modsecurity.org

https://www.howtoforge.com/apache_mod_security