部署

底層服務可優先部署，可依照以下順序：

檔案

資料格式、平台顯示

Elasticsearch 會生成 rcm-netflow-* 的 index，資料格式如下：

{
  "_index": "rcm-netflow-2025.12.05",
  "_type": "doc",
  "_id": "iR4B6joBowLNQ6TNdmE4",
  "_version": 1,
  "_score": 1,
  "_source": {
    "@timestamp": "2025-12-05T08:00:00.000Z",
    "dst_ip": "101.***.***.101",
    "@version": "1",
    "src_ip": "8.***.***.8",
    "timestamp": "2025-12-05T08:00:00.000Z",
    "bytes": 483000
  }
}

平台顯示：

my_site_goes_viral_check：可用於提醒域名訪問量異常增高或疑似遭受攻擊。

origin_unhealthy_check：可用於警告源站發生異常。

directory_scanner_check：可監控是否有人嘗試隨機掃描路徑，以找出有弱點的路徑進行攻擊。

forbidden_check：可監控是否有人針對域名進行攻擊並遭到阻擋。

spider_is_coming_check：可監控爬蟲或機器人的訪問量。

using_to_much_data_check：可提醒站點使用過多的資料傳輸量。

need_acceleration_check：可提醒緩存設置是否恰當，確保資源多半已命中緩存。

slow_request_check：透過監控請求耗時，來提醒哪些資源或伺服器問題可能導致網站加載過慢。

honey_pot_check：透過設置易受攻擊的系統或資源，誘使駭客入侵，以便分析其行為並加強防禦。此例藉由監控特定路由及請求表頭，來辨認攻擊者是否在嘗試未經授權的訪問。

my_site_not_popular_check：可用於提醒域名訪問量下降，進而留意網站是否被封鎖或劫持。

進入域名管理 /  域名物件 / 域名配置的頁面，按下左上角的「創建」。

以範例域名 ninja.tw 來說：

1. 找到「域名」的欄位，填寫萬用域名 _wildcard.ninja.tw。
2. 接著找到「站點」的欄位，選擇站點 nin。
3. 繼續往下滑，找到「回源」的欄位。這邊同先前的範例，填寫了 ninorigin.ninja.tw。
4. 按下儲存。

完成後，就會看到剛剛創建的域名 _wildcard.ninja.tw 顯示出來了。

接下來，我要把 _wildcard.ninja.tw 的解析導向憑證廠商提供的 CNAME target。請將表格往左滑，移動到「系統生成憑證」的欄位，會出現一個提示框。

將上圖的 Name（_31ac6c55afea271f99bff2d89123ab5f）與 Value（23cacc2fc077a028af00c419a6e557bc.526cd272f8fc967bae0d142fee3ed63f.comodoca.com）分別填入下圖的 Name 與 Targe，以完成 CNAME 指向。

接著，開啟終端機，輸入下列指令，確認你的域名是否已指向憑證廠商提供的 CNAME。

# Linux 環境：查詢域名 Domain Information Groper (dig)
➜  ~ dig _31ac6c55afea271f99bff2d89123ab5f.ninja.tw

; <<>> DiG 9.10.6 <<>> _31ac6c55afea271f99bff2d89123ab5f.ninja.tw
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 10484
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;_31ac6c55afea271f99bff2d89123ab5f.ninja.tw. IN A

;; ANSWER SECTION:
# _31ac6c55afea271f99bff2d89123ab5f.ninja.tw. CNAME 到「系統生成憑證」欄位提供的 Value
23cacc2fc077a028af00c419a6e557bc.526cd272f8fc967bae0d142fee3ed63f.comodoca.com
_31ac6c55afea271f99bff2d89123ab5f.ninja.tw. 299	IN CNAME 23cacc2fc077a028af00c419a6e557bc.526cd272f8fc967bae0d142fee3ed63f.comodoca.com.

;; AUTHORITY SECTION:
comodoca.com.		600	IN	SOA	ns1.as48447.net. hostmaster.comodoca.com. 2024121301 1800 1200 1814400 5400

;; Query time: 364 msec
;; SERVER: 96.45.45.45#53(96.45.45.45)
;; WHEN: Thu Dec 26 09:56:14 CST 2024
;; MSG SIZE  rcvd: 245

➜  ~

完成上述操作後，稍待片刻即可在「系統生成憑證」的欄位，看到打勾的圖示。

也可以到憑證上傳查看萬用憑證的內容。

1. 找到「時間」的欄位，並選擇「自定義」，如：2024-12-09 00:00 - 2024-12-09 23:00。
2. 按下搜尋。

從畫面的左上方到右下方：

• 95 th 百分位數（傳入用量）：在指定的時間範圍內，找出目的地 IP 地址為 0.0.0.0/0 的資料。然後，將每分鐘的流量加總、排序，找出排序後第 95 百分位數的流量。

• 總用量：在指定的時間範圍內，其流量總和為多少。
• 95 th 百分位數（傳出用量）：在指定的時間範圍內，找出來源 IP 地址為 0.0.0.0/0 的資料。然後，將每分鐘的流量加總、排序，找出排序後第 95 百分位數的流量。
• 傳入用量趨勢：在指定的時間範圍內，找出目的地 IP 地址為 0.0.0.0/0 的資料，以呈現每分鐘的流量變化。

• 傳出用量趨勢：在指定的時間範圍內，找出來源 IP 地址為 0.0.0.0/0 的資料，以呈現每分鐘的流量變化。

• 傳入用量的 IP 地址：在指定的時間範圍內，找出目的地 IP 地址為 0.0.0.0/0 的資料，呈現用量前五大的目的地 IP 地址。
• 傳出用量的 IP 地址：在指定的時間範圍內，找出來源 IP 地址為 0.0.0.0/0 的資料，呈現用量前五大的來源 IP 地址。

基礎（Essential）

• 規則名稱（RuleName）：OWASP 規則名稱為何。
• OWASP 觸發閾值（Owasp Threshold Limit）：在 OWASP 規則檢測的過程中，會根據不同的漏洞給予特定分數。當分數超過設定的閾值時，將會觸發相對應的 WAF 動作。
• OWASP 嚴謹程度（Owasp Paranoia Level）：此為 OWASP 規則檢測過程中的謹慎程度。分數愈高，檢測會愈加詳細且深入。
• OWASP 偵測規則（Owasp Detect Rules）：

• 動作（Action）：觸發 OWASP 規則後，要執行哪個 WAF 動作，如 Deny、Log Only。

若平台上有兩個群組皆有相同的域名，怎麼判斷域名的擁有者是誰呢？

如在群組 406615b1-6ec0-48ab-a6d9，有一個域名物件 nindomain.ninja.tw。

在群組 7e9d4f2a-4b72-4e9f-9a3c，也有一個域名物件 nindomain.ninja.tw。不同的是，此群組的域名比較晚才建立，且域名前面多了一個黃色的圖案。

點開黃色的提示，可以看到群組 7e9d4f2a-4b72-4e9f-9a3c 的 nindomain.ninja.tw 需進行域名所有權驗證。複製 TXT value「wksswlokhcpg07」，並到 DNS 供應商完成指向。

完成後，到終端機確認域名的 TXT 指向。

➜  ~ dig nindomain.ninja.tw txt

; <<>> DiG 9.10.6 <<>> nindomain.ninja.tw txt
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4304
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 7

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;nindomain.ninja.tw.	IN	TXT

;; ANSWER SECTION:
nindomain.ninja.tw. 300	IN	TXT	"wksswlokhcpg07"

;; AUTHORITY SECTION:
ninja.tw.	3600	IN	NS	molly.ns.cloudflare.com.
ninja.tw.	3600	IN	NS	ernest.ns.cloudflare.com.

;; ADDITIONAL SECTION:
molly.ns.cloudflare.com. 146684	IN	A	108.162.192.205
molly.ns.cloudflare.com. 146684	IN	A	172.64.32.205
molly.ns.cloudflare.com. 146684	IN	A	173.245.58.205
ernest.ns.cloudflare.com. 60638	IN	A	173.245.59.164
ernest.ns.cloudflare.com. 60638	IN	A	172.64.33.164
ernest.ns.cloudflare.com. 60638	IN	A	108.162.193.164

;; Query time: 122 msec
;; SERVER: 96.45.45.45#53(96.45.45.45)
;; WHEN: Thu Aug 29 15:57:01 CST 2024
;; MSG SIZE  rcvd: 280

➜  ~

現在群組 7e9d4f2a-4b72-4e9f-9a3c 擁有 nindomain.ninja.tw 的域名物件所有權，而群組 406615b1-6ec0-48ab-a6d9 的相同域名則變成需驗證的狀態。

如果想要在群組 406615b1-6ec0-48ab-a6d9  搶回 nindomain.ninja.tw 的域名物件所有權，則需同上述步驟，完成 TXT 指向。

事件當下，用戶以瀏覽器訪問域名 497.example.com 時，會看到下述畫面。

由於狀態碼 497 為 HTTP Request Sent to HTTPS Port，即用戶透過 HTTP 協議，將請求送至處理 HTTPS 協議的端口。

以域名 497.example.com 的設定為例，此域名僅允許 HTTPS 協議透過端口 11111、22222、12345 進行訪問。如果用戶是經由 HTTP 協議訪問這三個端口，事件查詢就會出現狀態碼為 497 的現象。

解決方案：啟用「HTTP 協議」或開啟「導向 HTTPS」

您可以啟用 HTTP 協議，並設定特定端口接收 HTTP 形式的請求。

如果您不希望用戶以 HTTP 的方式訪問您的網站，則可啟用導向 HTTPS，將 HTTP 請求重新導向為 HTTPS。

以上述設置為例，若用戶透過 HTTP 協議訪問 497.example.com，伺服器會回應用戶 302 Found 的跳轉 HTTP 碼及對應的 HTTPS 網址，讓用戶再請求 HTTPS 版本的頁面，成功解決狀態碼為 497 的問題。

如果要查詢域名 example.ninja.tw，在過去 10 分鐘內 status code 不等於 200 的請求數量，可以在 Query 欄位輸入：

server_name.keyword: example.ninja.tw AND NOT status: 200 AND timestamp: [now-10m TO now]

2.  搜尋特定端口（port）的 Query

如果要查詢域名 example.ninja.tw，在過去 10 分鐘內端口 12345 接收到的請求數量，可以在 Query 欄位輸入： server_name.keyword: example.ninja.tw AND server_port: 12345 AND timestamp: [now-10m TO now]

3.  同時搜尋兩筆域名，且只要其中一筆域名的流量超過 10 MB，就要觸發告警規則。

可以先在 Query 欄位輸入： server_name.keyword: (example01.ninja.tw OR example02.ninja.tw) AND timestamp: [now-10m TO now]

並在高於/低於選擇「above」、告警閥值設定「10」，以及閥值單位選擇「Sum MB」，即可在前述條件下觸發告警規則。

進入註冊在平台上的edge

step.2

nc -v localhost 5044

成功會顯示如下
Connection to localhost 5044 port [tcp/*] succeeded!

step.3

cd /root/.inodeninja/1.0.10/edge/
docker-compose logs -f --tail=300 logstash

查看是否有錯誤訊息

step.4

透過kcat觀察kafka是否有接收到log

操作連結

如果皆正常，請聯繫技術人員

進入資源管理 / 線路分組的頁面，並按下左上角的「創建」。

以示範新增線路分組 ninrecordlinegroup 來說：

1. 找到「分組名稱」的欄位，填寫 ninrecordlinegroup。
2. 再找到「線路」的欄位，移除「默認」，並選擇「境內」。
3. 按下儲存。

完成後，就會看到剛剛創建的線路分組 ninrecordlinegroup 顯示出來了。

接下來，切換到資源管理 / SLB 管理頁面，找到操作的欄位，按下修改 nin-1。

找到「線路」的欄位，移除「默認」，選擇剛剛建立的 ninrecordlinegroup，並按下儲存。

再度瀏覽範例網頁 https://nindomain.ninja.tw，出現以下錯誤頁面。因為臺灣的用戶線路不屬於境內，故無法解析到 SLB nin-1。

可以看到與 SLB 管理有關的參數，分成以下 2 個類別。說明如下：

基礎（Essential）

• 啟用狀態（IsEnabled）：是否啟用 SLB。此為已啟用。
• 客戶端與 SLB 之間的代理協議（Proxy Protocol between Client and SLB）：是一種傳輸協議，當用戶請求有經過代理伺服器時，可另外增加表頭以保留用戶 IP。開啟時，SLB 將期望從客戶端接收到 Proxy Protocol 表頭。
• SLB 與 EDGE 之間的代理協議（Proxy Protocol between SLB and EDGE）：開啟時，SLB 將會傳送 Proxy Protocol 表頭至 EDGE。

• EDGE 節點（EDGES）：分為可使用（Available）、已套用（Assigned），先前操作已將 c2a41643-266c-4fde-88ff 這台 EDGE 由 Available 移動至 Assigned。
• 紀錄類型（RecordType）：由站點解析到 SLB 時，使用 A 紀錄。
• 服務地址（ServiceIP）：SLB 的 IP。此為 ***.199.151.76。
• 線路（Line）：用戶需使用哪些電信商或瀏覽器，才會由這台 SLB 服務。
• 服務型態（ServiceProvideType）：分為 Normal（一般節點）、Protect（防禦節點，可跨群組靈活調配）。

進階（Advanced）

• Source NAT：開啟時，SLB 會將來源 IP 替換為自己的 IP 地址，然後再將資訊轉發給 EDGE。反之，SLB 不會更改來源 IP。
• SourceIpPool：填入 SLB 網卡上綁定的多個 IP，可增加 SLB 到 EDGE 的連線數。

可以看到與 EDGE 管理有關的參數，分成以下 1 個類別。說明如下：

基礎（Essential）

• 啟用狀態（IsEnabled）：是否啟用 EDGE。此為已啟用。
• SLB 與 EDGE 之間的代理協議（Proxy Protocol between SLB and EDGE）：是一種傳輸協議，當用戶請求有經過代理伺服器時，可另外增加表頭以保留用戶 IP。開啟時，EDGE 將期望從 SLB 接收到 Proxy Protocol 表頭。

• 服務地址（ServiceIP）：EDGE 的 IP。此為***.16.32.113。
• 服務型態（ServiceProvideType）：分為 Normal（一般節點）、Protect（防禦節點，可跨群組靈活調配）。

安裝kcat

kcat github

生產者

echo '{"foo": "test"}' | kcat -X security.protocol=SASL_PLAINTEXT -X sasl.mechanism=PLAIN -X sasl.username=<kafka 生產者帳號> -X sasl.password=<kafka 生產者密碼> -b <kafka domain>:port -t <topic>

驗證

kcat -X security.protocol=SASL_PLAINTEXT -X sasl.mechanism=PLAIN -X sasl.username=<kafka 消費者帳號> -X sasl.password=<kafka 消費者密碼> -b <kafka domain>:port -t <topic>