瞬間的なアクセス数の増大が検知できないので注意しましょう。一時間おきだと、1分間集中砲火を受けて、59分間無風状態なら、平均値からは異常が見えません。自分の感想だと、5秒毎とか短い数値でも困ったことはありません。実際にそれぞれの環境で動かして、OS全体やプロセス単位の負荷(psコマンド等で見れます)を確認・調整したほうが早いでしょう。送信元IPが詐称されたものか、本物だけど単に通信を途中で切断しただけなのか、(Webブラウザを途中で閉じたり、Wi-Fiが途中で切れたり)1つ1つの通信が本来のものなのか、攻撃目的のものなのかは、見分けるのが困難だと思います。お店に、正規の客と、嫌がらせの客の両方を大量に送り込むようなものです。営業妨害(DoS攻撃)するのって簡単ですよね...もちろん、やったらダメですが。*2とはいえ、明らかに攻撃と分かるケースとしては...telnetやssh、pop3やimapの接続が海外から来るわけはありません。国の内外は参考情報に過ぎませんが(国内のプロキシサーバを経由すれば、国内アクセスになるので)それにしても海外からの攻撃は多いので、目安の1つにするのはアリだと思います。前述のように、送信元ポートがsshやら、httpやらのwell-knownポートなわけもありません。DoS攻撃だと明らかに異常な接続数なので、すぐに解ると思います。Webサーバのリンクを自動巡回するツールとかで一斉にアクセスする場合もあるかもしれませんが、それもある意味DoS攻撃なので、阻止する方向で検討しても良いかと。自分のWebサイトの構成は確認しましょう。1つのページに大量の画像リンクとか貼っていれば、当然アクセス数が増えるので。対策の例としてはまめにファイアウォールで防ごう、ってだけの話にはなってしまいますが...これまでの経験・実験を踏まえて、以下にメモしますと詐称された送信元IPからのアクセスを止める場合、どこかのタイミングで「解除」が必要なのはお忘れなく。長期的に止める、は使い分けることになります。送信元IPが偏っている場合は個々のIPではなく、適当なサブネット単位で阻止することも考えましょう。(あとで解除する前提なら、ある程度一気に止めてしまって良いんじゃないかな...?)大量のログやらIPアドレスやらに対して設定&解除をやるので、手動で設定できる数ではありません。スクリプト化、ツール化していきましょう。落ち着いて、できるところから少しずつ対応していきましょう。企業とかだとコンティジェンシープランとかと合わせて考えるのかもしれませんね。firewallで止めるにしても、一時的に正規のユーザからのアクセスも止めることになったりするので。firewall-cmdなどで、IPアドレスのリストに対して接続拒否する例はこちら。python?)に1つくらい慣れておくと便利かもしれません。Floodが増えた時期は、cronとnetstatでSYN_RECVの数を数えて、あるていどのサブネット単位でfirewallで止めていたら、やがて攻撃が止まりました。以上、現状自分で試してみての感想です。不思議なのは、ファイアウォールで対応するたびに、攻撃全体がピタリと止まったという事実です。Flood対応、それぞれで目に見えて攻撃回数が減っていきました。攻撃や踏み台に利用できそうなサーバを24時間365日、世界中で探し回っている人々が大勢いるのだと思います。攻撃するにもコスト(資源と時間)はかかるから、より弱そうなサイトが優先的に狙われる、と。攻撃を無視すると、脆弱性ありとみなされて、次の攻撃を呼び込む結果になりかねないようです。日頃から少しずつ対応していった方が、結果的に手間は少なくなるのかもしれません。海外に自社の社員がいる場合とか?それでも場所は限定できるはず。国内アクセスであっても送信元IPでフィルターをかけた方が安全です。使用して作成しています。使用しています(このサイトについて)。