サーバーアタックへの対応についての覚え書き

私の管理しているサーバー（携帯電話用公式コンテンツ）上のapacheが何かにアタックを受けたようで、
エラーログが１５G ぐらいに肥大してファイルシステムフルになっていた。

（此処は怖いインターネッツですね。）

その時の対応についての覚え書き

（発覚までの流れ ）

1. サーバー上で使っているPHPのプログラムがエラーを出しているようだと連絡を受ける。
2. 最初、普通にログインとかできるので、原因わからずはまる。（ディスク100% 使ってても書けたりするのね）
3. df　してみて驚愕する。

（緊急対応策）

• とりあえず肥大したエラーログファイルを削除
• キャリアの課金とは済まされているので、シコシコ情報のロールバック

（今後の予防策案）

• apacheの設定で、そんなへんてこなアクセスは遮断する
  ⇒動いてるシステムだし、下手に弄って変になると怖いな
• システム監視系のサービスを動かす。
  ⇒考えよう
• ログのローテートが動いていなかったので動かす。
  ⇒ここから、その時の覚え書き

（ちなみにサーバーはCentOS 5.3)

1. 公開いているディレクトリは/home以下にしているので
   
   /etc/logrotate.d/httpdに
   
   

   /var/log/httpd/*log (ディレクトリ名){
       missingok
       notifempty
       sharedscripts
       postrotate
           /sbin/service httpd reload > /dev/null 2>/dev/null || true
       endscript
   }
   

   
   部分を追加。
   
2. 設定が正しいのか確認
   

   # logrotate -v /etc/logrotate.conf
   

   
   
3. ※今回追加したログがローテートされるのは、
   
   /etc/cron.daily/logrotate
   
   で動いたlogrotate の設定ファイル（/etc/logrotate.conf)
   
   内で内のサーバーの設定は1週間毎にローテートするようになっているので、再来週！
   
   
   ちなみに
   
   /var/lib/logrotate.status
   
   内の日付をいじればもうちょっと早くできるってことを記録しておく。
   

はー、疲れた