攻击 AWS RDS MySQL .static.midphase.com 类似于 IPv4 地址本身

Question

我正在运行带有 MySQL RDS 的 EC2 来提供动态网站的内容。 由于 RDS 数据库上的“连接过多”错误，服务器已关闭。

由于情况紧急，我立即重新启动数据库服务器，问题就消失了。 但是，我看不到是什么查询产生了这些连接（因为我在重启 RDS 之前没有运行 SHOW PROCESS LISTS）。

CloudWatch 在发布期间显示 250 多个连接，这与其他日子的正常运行明显不同。

我尝试通过查看 RDS 登录来解决此问题，但那里的消息非常少。

错误信息

2014-05-03 06:10:08 3628 [Warning] IP address '173.244.206.19' has been resolved to the host name '173.244.206.19.static.midphase.com', which resembles IPv4-address itself.

从上面可以看出，173.244.206.19 不在我们的公共和私有 IP 列表中。 （但打开到 0.0.0.0 的连接使用密码保护，我将很快限制安全组中的 IP 远程）

问题

1. Is 173.244.206.19.static.midphase.com 默认和RDS有关。我认为这显然是一个攻击信号，但想确认一下。
2. “类似于 IPv4 地址本身”是什么意思？由于这只是 RDS 数据库服务器，为什么服务器需要解析 DNS？
3. 是否有任何方法可以深入研究以获取更多详细信息（例如查看特定查询）。
4. 我将通过仅限制 IP 访问以及针对 10 多个连接的 CloudWatch 警报设置来防止这种情况。还有什么我应该做的。

感谢您阅读本文。我是公司初创公司中唯一负责所有前端/后端/应用程序/网络的开发人员。因此，如果这里有假问题，请道歉。

但是，我们将非常感谢您的帮助，这将节省我编写报告的时间。

Answer 1

您可能是 DDOS 攻击或暴力密码发现尝试的目标。 我会将此报告给 AWS 支持 - 因为他们可以帮助减轻攻击的影响。

作为最佳实践，我们不建议使用 0.0.0.0/0 作为安全组中传入连接规则的源 IP 地址。
尝试限制哪些 IP 地址被授权连接到您的数据库。 如果您从本地网络访问，请仅指定您的本地地址范围。 如果您从安装在 EC2 上的应用服务器访问您的数据库，请使用应用服务器安全组 (sg-xxxx) 的 ID 作为授权连接到您的数据库的源。