송주환 04-23

아주 정확할 필요가 없고, 대용량의 패킷을 처리할 필요가 없다면 netfilter의 내장 카운터를 사용하면 되지 않을까요.
nftables을 이용하면 쉽게 구현할 수 있을 것으로 보입니다.

술이 04-23

TCP 같은경우는 방어가 용이한편입니다. mitigation 기능이 있는 툴이나 보안장비 및 프로그램을 사용하면 그런건 어느정도 커버가 됩니다. pfsense 도 있는 기능입니다.
일반적인 기본방어는 트리커, 커넥션당 http 요청, 커넥션당 TCP 요청, Half TCP 요청, UDP 요청, 분당 최대값 요청, IP당 최대값 요청 이정도만이라도 기본적인 방어체계는 갖춰야됩니다.
그리고 SYN 공격은 Pfsense 같은걸로 SYN Proxy 로 설정해줘야 하고 DDOS 기능은 하는 방화벽들은 기본적으로 있는 기능이겠지만 저것때문에 포트가 고갈되버리는 상황이 발생합니다.

stream 04-23

두분 답변 감사합니다