DDOS - miért nincs állami fellépés ellene

Nincs rá kapacitás. Egy jó méretes DDoS sok tízezer forrásból jöhet. Ráadásul az egyik, amit egy DDoS támadás le tud ültetni elég hamar, az a logging.

Hogy értesítenék? És ha tudnák is értesíteni őket, szerinted értenének belőle bármit is? Tudná egy átlagfelhasználó, hogy hogyan kell eltávolítani hatékonyan a gépéről a malware-t ami DDOS-ol?
Arra meg bőven van példa, hogy a szolgáltatót értesítik, aki ideiglenesen letiltja az egész fertőzött szegmenst.

A Magyar Telekom évekkel korábban már csinált ilyen. Egy külső partnertől kapott lista alapján kereste meg a lakossági előfizetőket azzal, hogy gyanús forgalom jön a végpontjukról.

Hogy mennyire bírták ezt a szélmalomharcot arról már nem jutott el hozzám infó.

Reszben off, de vicces gondolatkiserlet lenne Indiat egy hetre lekapcsolni a nemzetkozi halozatokrol, hogy csak magukban forgalmazhassanak, orszagbol kifele ne. Kivancsi lennek, hany problema oldodna meg magatol, meg hany AI service menne downtime-ba. :)

Rossz ötlet. A végén kitalálják, hogy a VoIP, p2p bármilyen forgalom az DDoS, tehát tiltsa a szolgáltatód. Ekkor az addigi internet előfizetésed egy hírolvasó, médiafogyasztó szolgáltatássá silányul.

A múltkor kaptunk egy weboldalra támadást. DDOS -nak mondanám, de nem igazán volt mit tiltani rajta, kb 5-8000 magyar ip cim, mindegyik kb 3-5 másodpercenként keresett valamit az oldalon, amit persze nem tudtunk cachelni.
Az oldal elérhetetlen, ha felhivom marika nénit, hogy 15 lap letöltést generált akkor meg mihez kezdesz vele... ennyi a böngészőből össze hoznak.

A megoldás az lett, hogyha egy bizonyos user agentel jöttek, akkor a kód felvette tüzfalba, és akkor már ott eldobódott a csomag. Vagy egy napig ömlött a forgalom, lassan cserélődtek az ip cimek. Utánna eltünt.

Ez sajnos nem ilyen egyszerű.

1. Nincs senkinek teljes ember = IP cím összerendelése. Az államnak sincs.

2. Az IP címek rendszeresen cserélődnek (ezért nincs is értelme az 1. pontnak).

3. Tegyük fel, hogy minden ember és cég kapna fix publikus IP címeket / tartományt, ami csak kizárólag hozzá tartozik, senki máshoz. Marhaság, de mégis tegyük fel, hogy ezt megcsinálják.
3.1. IPv4-ből nincs elég, IPv6 kell.
3.2. Ha én a munkahelyemről netezek, akkor az én saját IP címem vagy a cég IP címe látszódjon?
3.3. Technikailag a routingot hogy oldanád meg? Pl: 1 ilyen IP cím a mobiltelefonomé, 1 ilyen az otthoni routeremé, 1 ilyen az IP kamerámé stb.

4. Ha be lehetne azonosítani bárki által egy embert az IP címe alapján, akkor azonnal eltűnne a neten az anonimitás. Az lenne csak az igazi 1984! Az emberek 99,99%-nak csak neten nagy az arca.

5. Manyi néni Wifi routere (amit az internet szolgáltatótól vett) EOL/EOS lesz. A routert feltörik, DDOS-olnak rajta. Manyi néni kap értesítést az államtól. Tegyük fel, hogy Manyi néni meg is érti a problémát. Mit tegyen? Dobja ki a routert? Tegyen másik fw-t a routerre, ha lehet? Vegye vissza a szolgáltató és ingyen cserélje azt le? A végén még kiderülne, hogy az IT terméktámogatás a béka feneke alatt van - és ebben Hajbazernek igazat adok. Perpillanat kiszámíthatatlan egy consumer IT termék életciklusa. Az IoT eszközök körüli kuplerájról már nem is beszélve.

6. Töröljük el a korlátlan lakossági netet és legyen forgalom alapú díjazású. Miben segítene ez érdemben?

7. Az egész IT úgy lyukas, ahogy van. Túl fiatal, kidolgozatlan. A DDOS csak egy nem egyedüli tünete ennek - mondjuk az építőiparhoz viszonyítva, ahol volt párezer évünk működő és stabil megoldások kitalálására.

8. A legnagyobb visszatartó erő talán a büntetés lehetne. Pontosabban a lebukástól való félelem, amit büntetés követne. Mivel az elkövetőket nem kapják el, így nem is büntetik őket.

9. IT biztonság tudatosság a béka feneke alatt van. Ez mondjuk az autók biztonsági övének használatára is igaz bizonyos körökben.

Ami talán érdemben segíthetne - bár van köztük vad ötlet:
- Minden netképes termékre legyen kötelező EOL / EOS, amit már a vásárlás pillanatában ismernie kellene mindenkinek.
- Hibajavítás - különösen CVE-kre - 1-2 héten belül telepítésre kerüljön automatikusan az összes érintett termékre. (garantált parasztlázadás)
- EOL / EOS státuszú termékeket be kell gyűjteni / bedarálni / tilos netre kötni. (ez is tuti felháborítana sokakat, okkal)
- Ahonnan DDOS jön, őket lehessen kizárni az internet eléréséből. (tuti felháborodást okozna ez is)

Az első lépés ez, hogy monitorozzuk a felhasználókat, a következő meg az, hogy nézzük, hogy milyen weboldalakat nézegetnek, melyik felekezethez tartoznak, de nem a választások befolyásolása miatt, meg manipuláció miatt, hanem a terrorizmus megfékezése miatt. De közben meg a védekező Izraelt basszuk le, mert meg mert ölni néhány tenoristát, akik rakétázták őket.

A jelenlegi politikai irányvonalat tekintve inkább ne legyen DDOS naplózás, max kirívó esetben az ISP vegye le róluk a netet.

Laikusként nem értem, hogy miért nem értesítik azokat a géptulajdonosokat/hálózat üzemeltetőket/előfizetőket, akiknek a készüléke részt vesz DDOS támadásban? Evvel jelentősen lehetne csökkenteni a fertőzött/fertőzhető gépek számát.

Van erre logikus válasz?

Igen. Hogy nem lehetne ezzel jelentősen csökkenteni. :)

Csinálnak egyébként ilyesmit, én például többször futottam kört a digivel, mert valami partnerük jelezte, hogy DDoS támadást észleltek tőlem (értsd, kaptak egy levelet az abuse@-ra valami automatától), és csináljak valamit. Talán még azzal is jöttek, hogy különben korlátozhatnak. Az egyikben három darab random udp packetre panaszkodtak, a másikban már nem tudom mi a pöcsre, ezeknél megbeszéltük, hogy értem én, értem, de ugye ha a 300Mbites uplinkemen aznap összesen nem ment fel nem tudom, 1-2 giga adat, akkor lehet, hogy mégse dosolok, természetesen a háztartásban levő összes windowson (0) van vírusírtó, meg frissülnek automatán, szóval szórakoztassunk mást.

Illetve egyszer volt valami, mikor az xbox csinált valami packet stormot, tényleg félig hanyatt baszta a mikrotiket, az valóban nem lehetetlen, hogy kilátszott (bár csodálkoznék, ha az ő eszközükön túlra tette volna), kikapcsoltam valami érdektelennek tűnő featuret (nem tudom, local sharing, vagy valami hasonló faszság), azóta béke van.

Az összes ilyen bérelt infrán meg foglalkoznak ezzel, már csak saját hatáskörben is, mert valójában nekik érdekük. (Hacsak nem a spammer tanya az üzleti modell).

Hun-CERT szerintem pont valami hasonlot csinal.