Linux 防禦 CC 攻擊實戰：CSF 防火牆配置與 CDN 策略選擇指南

CC 攻擊 (Challenge Collapsar) 透過大量偽造合法請求耗盡伺服器資源 (CPU、連線數)，導致正常服務不可用。本文對比本地防火牆 (CSF) 與 CDN 兩種防禦層級，提供 CSF 完整安裝配置步驟、關鍵防禦參數調教，並說明適用場景與侷限。

CC 攻擊特徵

• 模擬大量用戶並發存取動態頁面 (需大量 CPU/資料庫運算)
• 單一 IP 或分散式 IP (代理池) 持續高頻請求
• CPU 長期 100%、連線佇列堆疊、正常請求超時或被丟棄

防禦策略對比

CSF (ConfigServer Security & Firewall) 完整部署

1. 安裝相依套件

yum install -y perl-libwww-perl iptables

2. 下載安裝

wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

3. 功能測試

perl /etc/csf/csftest.pl
# 應顯示 "RESULT: csf should function on this server"

4. 核心配置 /etc/csf/csf.conf

# 開放 TCP 入站埠 (含 SSH 非常用埠建議修改)
TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,8080,8443"
# 開放 TCP 出站埠
TCP_OUT = "20,21,22,25,53,80,110,113,443,8080"
# UDP
UDP_IN = "20,21,53"
UDP_OUT = "20,21,53,113,123"

# ICMP (Ping) - 0 關閉, 1 開放
ICMP_IN = "0"

# CC 攻擊防禦核心參數
# 每 IP 連線數限制 (預設 0 關閉)
CT_LIMIT = "100"
# 連線數超過封鎖秒數 (0 永久)
CT_PERMANENT = "1"
CT_BLOCK_TIME = "1800"

# 針對特定埠的連線速率限制 (每秒請求數)
# PORTFLOOD = "80;tcp;20;5"  # 80 埠 TCP 5 秒超過 20 連線則封鎖

# 登入失敗封鎖 (SSH, FTP, SMTP 等)
LF_SSHD = "5"
LF_SSHD_PERM = "1"
LF_FTPD = "10"
LF_SMTP_AUTH = "5"

# 封鎖清單自動更新 (已知惡意 IP)
LF_DSHIELD = "1"
LF_SPAMHAUS = "1"

5. 啟用 CSF

csf -e  # 啟用 (預設安裝後為測試模式 -t)
csf -r  # 重新載入規則

進階防禦建議

• 修改 SSH 預設埠 (22 → 非標準埠) 並同步更新 TCP_IN
• 搭配 fail2ban 分析 Nginx/Apache 存取日誌，動態封鎖高頻 IP
• 應用層限流：Nginx limit_req_zone、limit_conn_zone
• 資料庫查詢優化、啟用快取 (Redis/Memcached) 降低動態頁面 CPU 開銷
• 重要服務部署多可用區、啟用自動擴展

• 上一篇文章： Shell 腳本監控 rsync 大檔傳輸完整性：自動檢測中斷並續傳
• 下一篇文章： Linux 命令列發送郵件完整指南：sendEmail 工具安裝、配置與測試流程

關於 Linux

老舊電腦翻新指南：安裝輕量級 Linux 系統實現基本辦公與多媒體需求

CentOS 6.5 安裝無線網卡驅動 (Realtek RTL8188CE) 完整編譯教學

Apache 伺服器禁止特定 IP 存取：.htaccess 與 httpd.conf 兩種配置方式