Tomcat6, sonda lambda, una increíble cantidad de sesiones de "desconocido"

Question

Estoy ejecutando un sitio de comercio electrónico que se "bloquea" regularmente. Por lo general, veo una loca número de sesiones abiertas (600-900 en los días normales, 5000-20000 en accidentes). Me gustaría determinar dónde se originan estas sesiones.

Estoy tratando de usar la sonda Lambda, pero no parece ayudar. La mayoría de las sesiones allí se enumeran en la vista de sesiones con un "Último IP" sin gabaz.

Esta ocurrencia es un ataque de DOS o algún problema lógico dentro de la aplicación, y me gustaría determinar cuál es. ¿Hay alguna forma de determinar con mayor precisión el origen de una sesión que la vista de sesión de la sonda Lambda? ¿O hay parámetros para corregir esta pantalla "desconocida"? Después de todo, si se abre una sesión, tenía que haber un paquete SYN en algún lugar, y esto habría tenido una dirección IP.

Por último, tengo un filtro autoescrito para almacenar las sesiones activas en la memoria para mostrar en el programa, pero cuando esto sucede, el servidor no le quedan suficientes recursos para mostrar esta lista.

Cualquier ayuda será apreciada.

Answer 1

Si alguien está interesado en esto todavía: en realidad fue un ataque de DOS. Como casi no hay una buena manera de evitar la creación de una sesión para una solicitud que aún no se ha visto (las cookies e ID de sesión se despojan de las solicitudes, por supuesto), finalmente resolvimos esto utilizando reglas dedicadas de firewall para este propósito .