Estoy viendo desde hace aproximadamente 10 días un grupo de máquinas EC2 (aproximadamente 30, distribuidas en todas las regiones) que están atacando un servidor mío.
El hecho interesante (o no interesante, todavía no lo sé) es que
- se dirigen a un servicio web abierto en un puerto no descriptivo (que probablemente se encontró en un escaneo anterior)
- este puerto responde con un
200a una solicitud HTTP - las consultas solo están en la raíz de la URL ...
- ... lo que les trae una página vacía
En otras palabras, están continuamente haciendo un GET / en ese servicio web.
Podría haber sido un DDoS, excepto que
- el número de máquinas es muy limitado y está bien definido
- hay 4 consultas por minuto , todas ellas agrupadas ordenadamente (dentro de ~ 5 segundos) a la mitad del minuto
Entonces, esto no es un DoS (la tasa es insignificante), no una DDoS (al lado de la tasa, la población es pequeña), no los intentos de pirateo (la solicitud es obstinadamente en una URL, miré el tráfico y este es el solo puerto apuntado).
Lo clasificaré como "rico (muchas máquinas EC2, también pueden usar el nivel gratuito) pero no estoy seguro de qué" si nadie tiene una idea de lo que es esto.