mod_dosdetector でDoS対策, BANが予定よりも早く解除される

Question

CentOS 6.6の環境でmod_dosdetectorをインストールし、以下のような設定しました。

1. httpd.confにincludeするmod_dosdetectorのconfファイル設定内容

DoSDetection On
DoSPeriod 10
DoSThreshold 10
DoSHardThreshold 30
DoSBanPeriod 60
DoSTableSize 100
DoSIgnoreContentType ^(image/|application/|text/javascript|text/css)

上記の設定であれば、10秒の内10回以上のリクエストが送信された際に、警告ログがながれています。HardThresholdの場合にも同じように30回以上のリクエストを送信し、エラー画面をRewriteするように以下に記載しました。

RewriteEngine On
RewriteCond %{ENV:SuspectHardDoS} =1
RewriteRule .* DoSDetection.html [L]

しかし、エラー画面を出力するまでは想定していた挙動だったのですが、
設定では60秒間BANを継続せず、何度やってみても5秒～10秒の間でBANが解除されて元の画面にアクセスできるようになってしまいます。
DoSBanPeriodを極端に大きな数値にしてみても結果は同じでした。

私の設定が間違っているのでしょうか？未だに原因が究明できず困っています。お力添えをお願い致します。

Answer 1

mod_dosdetector.c の「#define _DEBUG」を有効にしてログを見たところ、以下のような状況でした。

1. アクセスがあると内部のカウンタが +1
2. カウンタ > DoSThreshold で DoS と判定 : SuspectDoS=1
3. カウンタ > DoSHardThreshold で HardDoS と判定 : SuspectHardDoS=1
4. カウンタは DosPeriod ごとに一定数減算される
5. カウンタ <= DoSHardThreshold になった場合、SuspectHardDoS=1 をセットしているスコープ({ apr_table_setn()関数 } 箇所)を外れるので、SuspectHardDoS が未定義に戻る。DosBanPeriod 内であっても。
6. 一方、SuspectDoS=1 は DosBanPeriod までは維持される。

内部では DosBanPeriod 内と判断しているけれど、それとは別に SuspectHardDoS=1 はカウンタ値で決まっているようです。この挙動は作者が意図したものなのか、バグなのかはわかりません。

なので、DosBanPeriod 内かどうかを判定するには %{ENV:SuspectHardDoS} ではなく %{ENV:SuspectDoS} を使うといいと思います。

Comments

[deathsan]

有難うございました。無事、意図した挙動を実現することが出来ました。
何のために別のカウンタを見ているのか作者に直接お尋ねしてみたいところではありますね。