cc attack 필터링(iptables)

CC-Attack이라는 공격 유형은 요청 시 Cache-Control 설정을 User-Agent 해더 필드에 첨부하여 서버의 부하를 발생시키는 특성을 가지고 있다. CC-Attack의 특성인 Cache-Control 설정 내용은 아래와 같다.

Cache-Control: no-store, must-revalidate

• 캐시 저장 금지(no-store)
  no-store 지시자의 목적은 부주의하게 민감한 정보를 백업테이프와 같은 곳에 보유하거나 배포하는 것을 방지하는 것입니다. no-store 지시자는 요구/응답 모두에 발송할 수 있습니다. 요구에 포함하여 발송하게 되면 캐시는 요구의 어떤 부분 또는 이 요구에 대한 어떠한 응답도 캐시해서는 안됩니다. 응답에 발송하게 되면 캐시는 이 응답의 어떤 부분 또는 응답을 이끌어 낸 요구를 저장해서는 안됩니다. 이 지시자는 비공유 및 공유 캐시에 모두 적용됩니다.
• 캐시의 재검증(must-revalidate)
  규약은 원서버가 계속되는 캐시 사용에 대한 캐시 엔트리 검증을 요구할 수 있는 메커니즘을 포함하고 있습니다. must-revalidate 지시자가 캐시가 수신한 응답에 포함되어 있고 캐시가 계속되는 요구에 응답하기에는 낡아진 이후에 캐시는 먼저 원 서버에 이를 재검증하기 전에는 엔트리를 사용해서는 안 됩니다. must-revalidate 지시자는 특정 규약 기능의 안정된 운영을 위해서 필요합니다. 어떠한 경우이든 HTTP/1.1 캐시는 must-revalidate 지시자를 반드시 따라야 합니다.

- See more at: http://www.esupport.kr/?p=60#sthash.C4AFqK1m.dpuf

-A FORWARD -p tcp -d 222.239.225.32  -m string --string "no-store" --algo kmp --to 65535 -j DROP

-A FORWARD -p tcp -d 222.239.225.32  -m string --string "must-revalidate" --algo kmp --to 65535 -j DROP

-A FORWARD -p tcp -d 222.239.225.32  -m string --hex-string "|6e6f2d73746f7265|" --algo kmp --to 65535 -j DROP

-A FORWARD -p tcp -d 222.239.225.32  -m string --hex-string "|6d7573742d726576616c6964617465|" --algo kmp --to 65535 -j DROP