Tomcat6, sonda Lambda, folle quantità di sessioni da "sconosciuto"

Question

Sto gestendo un sito di e-commerce che "si schianta" regolarmente. Di solito, vedo un numero folle di sessioni aperte (600-900 nei giorni normali, 5000-20000 su crash). Vorrei determinare dove provengono queste sessioni.

Sto cercando di usare la sonda Lambda, ma non sembra aiutare. La maggior parte delle sessioni sono elencate nella vista delle sessioni con un "ultimo IP" Unknwon.

Questo evento è un attacco DOS o qualche problema logico all'interno dell'applicazione, e vorrei determinare quale sia. Esiste un modo per determinare in modo più accurato l'origine di una sessione rispetto alla vista della sessione della sonda Lambda? O ci sono parametri per correggere questo display "sconosciuto"? Dopotutto, se viene aperta una sessione, doveva esserci un pacchetto syn da qualche parte e questo avrebbe avuto un indirizzo IP.

Infine, ho un filtro auto-scritto per archiviare le sessioni attive in memoria per la visualizzazione nel programma, ma quando ciò accade, il server non ha abbastanza risorse per visualizzare questo elenco.

Qualsiasi aiuto sarà molto apprezzato.

Answer 1

Se qualcuno è ancora interessato a questo: in realtà è stato un attacco DOS. Dato che non c'è quasi un buon modo per impedire la creazione di una sessione per una richiesta che non è stata ancora vista (i cookie e gli ID di sessione sono rimossi dalle richieste ovviamente), abbiamo finalmente risolto questo utilizzando le regole del firewall dedicate a questo scopo .