Флуд усиление и медленные соединения

Таблица. Параметры anomaly.flood

ПараметрЗначенияНазначение и особенности

syn_flood_per_pair_threshold

Сессии; 200

Порог полуоткрытых TCP-сессий пары адресов.

syn_flood_distributed_threshold

Адреса; 500

Число уникальных источников SYN-флуда к одному назначению по всем потокам.

udp_flood_session_rate_threshold

Новых сессий/с; 5000

Порог к одному адресу в пределах потока. Пакеты внутри одной сессии этот счётчик не увеличивают.

icmp_flood_session_rate_threshold

Новых сессий/с; 1000

Аналогичная проверка ICMP и других протоколов, кроме TCP и UDP.

udp_flood_distributed_threshold

Новых сессий/с; 50000

Суммарный порог UDP к назначению по всем потокам.

icmp_flood_distributed_threshold

Новых сессий/с; 10000

Суммарный порог ICMP по всем потокам.

cusum_h

Целое; 30

Порог накопленного превышения темпа новых сессий.

cusum_k

Целое; 5

Дрейф, вычитаемый за секунду; влияет на устойчивость к фоновому шуму.

amplification_ratio_threshold

Кратность; 20

Отношение объёма ответа к запросу UDP-сессии.

amplification_min_request

Байты; 100

Несмотря на имя, верхняя граница запроса: запрос не меньше этого размера усилением не считается.

amplification_min_response_bytes

Байты; 1024

Минимальный размер ответа для проверки усиления.

slowloris_min_concurrent_sessions

Сессии; 50

Порог медленных сессий пары, в которых сервер ещё не передал данные.

slowloris_min_idle_seconds

Секунды; 30

Пауза клиента, после которой сессия с молчащим сервером считается медленной.

Для UDP и ICMP здесь оценивается темп новых сессий, а не просто packets per second. Это важно при проверке: большой поток пакетов с неизменной парой адресов и портов может не набрать соответствующий порог. Для оценки нагрузки одновременно смотрите скорость, число новых сессий и потери пакетов.