Sziasztok!
Megint hozzátok fordulok segítségül. Ma hajnal tájt négy dallasi (usa) szerver vette cél alá a gépünket Budapesten. Hogy miért pont mi, nem tudjuk, természetesen proxy is lehet a dolog mögött, ezt sem tudjuk. Folyamatos bejövő kapcsolattal elérhetetlenné tette a gépünket. A kérdés hogyan lehet védekezni ellene? Ip táblába hozzáadtuk a tiltást, ufw enabled, hozzáadtuk az ip tiltást, és ennek ellenére a kapcsolat nem került kitiltásra. Próbálkoztam a service networking stop-al, elvégre mégis csak onnan jön, nem ment végbe a folyamat. Végül a leállítás mellett döntöttünk. Szégyen a futás de hasznos.
Segítsetek, tűzfal specialista rendel :)
köszi
Márk
- 14580 megtekintés
Hozzászólások
ddos elég tág fogalom, de pl vannak helyzetek mikor csak az ISP tud valamit tenni, jellemzően akkor mikor a géped felé levő link a szűk keresztmetszet.
- A hozzászóláshoz be kell jelentkezni
Tény. Az adatállományban kár nem keletkezett, vagyis "nem hatoltak be". Viszont olyan szintű adatmennyiséget generáltak, hogy elfogyott a sávszélesség a gépről, méghozzá annyira, hogy ping sem volt kifele. Több órán keresztül. A szolgáltatónak be lett jelentve, az amerikai szolgáltatónak is.
- A hozzászóláshoz be kell jelentkezni
Jó volna látni a jelenlegít (hogy azt jól megköpködhessük ;) ), aztán ahhoz képest tudnánk javaslatokat tenni. Illetve olvasd el ezt: http://molnaristvan.eu/2011/01/16/az-en-tuzfal-scriptem/ azt a scriptet és a szabályokat tanulmányozva könnyű lesz előre lépni.
Azonban gyanítom az miatt ált elő a probléma, mert a tűzfal kifelé nem korlátoz ami öreg hiba. Illetve gondolom még a DROP előtt lehet egy RELATED, ESTABLISHED -j ACCEPT típusú sor.
A blackilst típusú sorokat érdemes a tűzfal legelejére tenni és DROP -ot használni
----
올드보이
http://molnaristvan.eu/
- A hozzászóláshoz be kell jelentkezni
És mely porto(ka)t támadták?
- A hozzászóláshoz be kell jelentkezni
jnettop -al listáztam ki az eth0 forgalmát, ő pedig kiírta hogy a bejövő kapcsolatnál nincs port meghatározva, se udp se tcp protokoll, egyszerűen IP volt kiírva.
szerkesztve:
illetőleg így hirtelen eszembejutott msot hogy egyszer láttam egy UDP kapcsolatot is, 50XXX port volt. Sajnos nem jegyeztem fel. De az ip címeket igen.
74.63.240.163
69.162.110.131
63.65.143.15 (itt még mindig egy kedves üzi jön be) :)
szerkesztve:
illetőleg minden kiszolgáló progit leállítottam. SSH, apache2, mysql5, php, pearl, bind. és a dolog nem szűnt meg.
- A hozzászóláshoz be kell jelentkezni
Ezekről az IP-kről minden forgalmat tegyél DROP-ra, de ez csak a TCP-n tud bármit is lassítani. Ha akkor krafttal küldik rád a csomagokat, akkor bármit tehetsz maga a drót tele lesz. Igazából az ISP-d tudná úgy ezeket az IP-ket, hogy az ő első routerén megálljanak.
- A hozzászóláshoz be kell jelentkezni
74.63.240.163
online játszol?
:)
- - - - - - - - - - - - - - - - - - - - - - - - - - - -
- - -> Kérjük a humoros aláírást itt elhelyezni. <- - -
- A hozzászóláshoz be kell jelentkezni
nem :) De a következőt tapasztaltam: jnettop alkalmazás kiírta hogy a 69.162.110.131 ip címről 8-10megával érkeznek az adatok, a 74.63.240.163 -s címről pedig 2-3 megával. Valószínűleg ezzel pótolta ki a hiányzó sávszélességet.
- A hozzászóláshoz be kell jelentkezni
Ez valami webszerver?
Akkor a cloudflare.com segithet.
--
"You're NOT paranoid, we really are out to get you!"
- A hozzászóláshoz be kell jelentkezni
A whois és a dns kiszolgálók szerint megvan a host. limestonenetworks.com
Bejelentést tettünk az alábbi ip címek ellen, 48 óra múlva lesz eredmény az email szerint. Ha ér valamit egyáltalán...
69 es ipn is volt egy webszerver hajnalig. a whois szerint 3:32 óta ninsc "jel" rajta. Azon egy kedves GameOver kép volt, és javascript írta ki a srác email címét, és a nevét "kamikaze hacker", és amúgy egy win32 es LAMP a cucc. És szólt az x akták zenéje is. tök cuki volt :D
- A hozzászóláshoz be kell jelentkezni
wat
--
"You're NOT paranoid, we really are out to get you!"
- A hozzászóláshoz be kell jelentkezni
Ismét egy szakértővel állunk szemben :) Lassan már tényleg megrémít mennyire hozzá nem értő emberek tudnak ebben a szakmában elhelyezkedni.
- A hozzászóláshoz be kell jelentkezni
köszi ha nekem szólt:):)
- A hozzászóláshoz be kell jelentkezni
Neked szólt. A LAMP első betűje a Linuxot jelenti. A windowsos változata WAMP. Már amennyiben...
--
unix -- több, mint kód. filozófia.
Life is feudal
- A hozzászóláshoz be kell jelentkezni
igazad van ne haragudj miatta pontosan tudom hogy melyik mit jelent. sok helyre írtam sok óra nem alvás után. Eltévesztettem. Ez nem feltétlenül jelent végzetes következtetést valakinek a szakmai tudásáról.
- A hozzászóláshoz be kell jelentkezni
Nem is arra írtam.
- A hozzászóláshoz be kell jelentkezni
oh
- A hozzászóláshoz be kell jelentkezni
Off: Hint: WAMP szerver
--
Ki oda vagyik, hol szall a galamb, elszalasztja a kincset itt alant. | Gentoo Portal - A hozzászóláshoz be kell jelentkezni
én kikapcsolnám a tűzfalat, ennél jobb módszer nem lehet ellene ;)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
- A hozzászóláshoz be kell jelentkezni
az a biztos? :D:D
- A hozzászóláshoz be kell jelentkezni
a Ddos védelem ellen mindenképpen :D
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
- A hozzászóláshoz be kell jelentkezni
Lehet, hogy a kollégánál még nem puffant. Igaz nekem is csak akkor, amikor a hsz.-ed után ismét elolvastam a címet.
-----------------------------------------
Linux alapparancsok, kezdőknek
- A hozzászóláshoz be kell jelentkezni
Ha hathatósan akarsz mielőbb megszabadluni tölle, akkor javaslom elolvasásra ezt:
http://www.secureworks.com/research/threats/ddos/
----
올드보이
http://molnaristvan.eu/
- A hozzászóláshoz be kell jelentkezni
Szia!
abbol amit mondtal, en ugy latom hogy ez nem ddos hanem sima dos (mivel 1 vagy nehany geprol jon csak a tamadas)
ddos ellen baromi nehez vedekezni, de a te eseted ennel remelhetoleg valamivel egyszerubb.
valami progival (iptraf) nezd meg hogy mennyi savszelesseget foglal el kifele es befele a tamadas. Ha ez eleri a gep netkapcsolatanak savszelesseget, akkor csak a szolgaltato segithet, vagy ha tudod hogy konkretan valamelyik domaint tamadjak, akkor van eselyed azzal hogy a dns ben a domainhoz tartozo ip cimeket atirod 127.0.0.1 re.
ha a tamadas nem eri el a savszelesseged csucsat (es a csomag szam se haladja meg a te geped es az elotted levo routerek kepessegeit) akkor tudsz csak vedekezni iptablessel, vagy valami routerrel a gep elott.
Ha meg tudod mondani hogy melyik a helyzet ezek kozul, akkor tudok / tudnak a szakik a hup on tovabbi tanacsokat adni.
Denke.
- A hozzászóláshoz be kell jelentkezni
Szia Denke!
Valószínű hogy Dos igen. A sávszélesség csúcsát viszont elérte, hiszen ping sem volt. Egyik kiszolgáló program sem futott az akció idején, illetve a grafikonok szerint egyik alkalmazás Access száma sem nőtt.
- A hozzászóláshoz be kell jelentkezni
Tetszett a 127.0.0.1-es ötlet.
De sokkal elegánsabb lenne, ha az egyik DOS-oló gép IP-jét adná meg, mert akkor az egyik haver DOS-olná a másikat.
- A hozzászóláshoz be kell jelentkezni
Igen kevés esély van arra, hogy domainnévre indítson valaki masszív UDP/[TCP Syn] flood-ot.
Mérget vennék rá, hogy IP cím az áldozat.
- A hozzászóláshoz be kell jelentkezni
Ezt kb én is tudom, de ötlet akkor is eredeti volt, még ha kevéssé is működne.
- A hozzászóláshoz be kell jelentkezni
Annó az IRC-s korszakban - a Sulinet program okán - betörtek a script-kiddie tömegek, és az első apró sérelemre előkaptak valami ping-of-death vagy másik - éppen akkor futó hasonló - script-et, amit ugye el tudtak indítani, és vadul követelték az IP címem... na, ekkor írtam vissza, hogy 127.0.0.1, majd a sikeres öngyilkosság okán általában le is szakadtak a skacok, de nem értették igazán az összefüggést... :)
--
http://wiki.javaforum.hu/display/~auth.gabor/Home
- A hozzászóláshoz be kell jelentkezni
:D +1
- A hozzászóláshoz be kell jelentkezni
Összefoglalásként leírhatnád a támadás lefolyását, illetve, hogyan sikerült mitigálni a problémát!
----
올드보이
http://molnaristvan.eu/
- A hozzászóláshoz be kell jelentkezni
Beszéltünk az isp-vel. Elismerték hogy eddig ők sem tettek semmit az ügy érdekében. A támadás lefolyása nem egy nagy vasziszdasz volt. Valamivel egy óra után, megnövekedett a beérkező csomagoknak a száma, ám először csak lassulást értek el vele. Ezután több ip cím kapcsolódott a géphez, összesen négy cím volt. Fokozatosan kapcsolódtak, majd elfogyott a sávszélesség.
- A hozzászóláshoz be kell jelentkezni
Segíts légyszi.
http://kepup.xforce.hu/?di=R2B4
- A hozzászóláshoz be kell jelentkezni
Az egy usb controller, hogy jön az ide :)
- A hozzászóláshoz be kell jelentkezni
sehogy megkérdeztem.
- A hozzászóláshoz be kell jelentkezni
Ez csak sima DoS, ez ellen se sok ISP fog neked ACL-ezni az MPLS routerein.
DDoS ellen meg a legjobb védelem a korrekt üzleti/netes magatartás. Ha a csúnya zombihálózatok bérlői igazán
megharagszanak valakire, akkor nem csak a célszervereket tudják leültetni, hanem akár egy teljes ISP-t is. Totálisan.
60-80 gbps, vagy még ennél is több forgalmat is rád tudnak küldeni, a több tízezer forrás IP-t nem lehet kiblackhole-ozni, csak a támadott hálózat IP címeit lehet kiirtani a BGP hirdetések közül.
- A hozzászóláshoz be kell jelentkezni
"DDoS ellen meg a legjobb védelem a korrekt üzleti/netes magatartás. "
Nálam van egy hobby-oldal, amit 2-3 éve folyamatosan ddosolnak. Csak .hu-ról engedek már hozzáférést, és emailen lehet kérni külföldi hozzáférést, olyankor az adott IP szolgáltatójának a teljes tartományát engedélyezem.
- A hozzászóláshoz be kell jelentkezni
jesszus, milyen hobbi lehet az?
- A hozzászóláshoz be kell jelentkezni
valakinek konkurencia.. :) bőven elég..
- A hozzászóláshoz be kell jelentkezni
Bár erre az esetre tulzás, de a kérdésre a válasz.
- A hozzászóláshoz be kell jelentkezni
Az említett technológiát vajon hány ISP tudja azonnal, fejlesztések nélkül alkalmazni az összes core/MPLS routerén?
Ha új hardvert kell vásárolni hozzá, vajon hányszor tízmillió Ft.-ba kerülnek darabonkét az ezeket a feature-öket hardverből és nem CPU-ból lekezelő, megfelelő performanciával rendelkező eszközök?
Az esetleges cserékkel járó leállások hány hónapnyi munkát feltételez és vajon hány ezer user fog más szolgáltatót változtatni amiatt, hogy ez a rohadt ISP már megint, minden héten leállít valamit?
Ne is csodálkozz, hogy a legelső dolog ilyenkor, hogy az ISP kiblackhole-ozza a usert, lecsapja a teljes internetvonaladat és szélsőséges esetben még a szerződésedet is felmondja, boldogíts mást.
- A hozzászóláshoz be kell jelentkezni
Nálam egy HAProxy a frontend, mindenki mögötte lakik. Elég jól lehet paraméterezni - és pl. a request-eket (mondjuk a túl gyakoriakat) korlátozni a backend-ek felé... Egész nagy listákkal elboldogul borzasztó gyorsan.
- A hozzászóláshoz be kell jelentkezni
???
Ezt biztos ide akartad? :)
- A hozzászóláshoz be kell jelentkezni
:) Ide is jó. Komoly DDoS-t csak a szolgáltató tud megfogni, picire meg ez is jó - ha szolgáltatásokat húznak, nem csak hálót tömnek. Szerintem. :) (Kicsit vagyok a témába', hálisten gyerekméretű bacogatások akadtak csak az az elmúlt ~10 évben... )
- A hozzászóláshoz be kell jelentkezni
Naja, ebben a konkrét esetben a hálózat volt eltömítve, UDP-vel, ilyenkor teljesen irreleváns, hogy válaszol-e a szervered, vagy nem, már az ISP utolsó routerének az előfizetői linkje el lett dugítva.
Ha lehúzod a hálózatról a szervered, még akkor is tele lesz a drót, szóval halott dolog bármilyen csomagszűréssel vag tarpit targettel bohóckodni.
- A hozzászóláshoz be kell jelentkezni
A tarpit még rosszabb, mert akkor még visszafelé is telítődik a drót.
- A hozzászóláshoz be kell jelentkezni
Köszi srácok. :)
- A hozzászóláshoz be kell jelentkezni
a tarpit eredetileg:
The program answers connection attempts in such a way that the machine at the other end gets "stuck", sometimes for a very long time.
erről lehet szó:
A conntrack és a TARPIT azonos rendszeren való használata erõsen ellenjavallt, ugyanis minden beragadt kapcsolat fogyasztja a conntrack erõforrásait
- A hozzászóláshoz be kell jelentkezni
Veszel egy ilyet: http://www.spirent.com/Solutions-Directory/Avalanche.aspx
Aztán visszatámadsz. :)
Lehet bérelni is... :)
--
http://wiki.javaforum.hu/display/~auth.gabor/Home
- A hozzászóláshoz be kell jelentkezni
Asszem valami ilyesminek a nagytestvérét mi is próbáltuk a hálózatban, kifejezetten DDoS ellen.
Nagyon profi a dolog, bele kell integrálni a BGP hálózatodba és automatikusan felismeri az illegális forgalmat, és ha úgy konfigolod, akkor magára rántja azt a /32-t, amit támadnak, a rosszindulatú csomagokat lenyeli, a többit meg továbbdobja a támadott célszervernek. Vagyis nem hullik el a megtámadott szerver/link, de az ISP-hez bejövő akárhány giga forgalom ezen a cuccon landol. Csak addig jó ez is, amíg az ISP nemzetközi uplinkjei nincsenek eldugítva.
Baszott jó és baszott drága.
- A hozzászóláshoz be kell jelentkezni
Láncos kutyának híttuk a cégnél, terheléses tesztekhez volt rendszeresítve... csak levettük róla a pórázt, rámutattunk egy szerverre, hogy "Bodri, öl!", és a szerver meg is feküdt pillanatok alatt, de igazából Layer7 alatt volt csak ereje... egy checkbox volt a szimulált DDoS támadás indítása... :)
--
http://wiki.javaforum.hu/display/~auth.gabor/Home
- A hozzászóláshoz be kell jelentkezni
"egy checkbox volt a szimulált DDoS támadás indítása... :)"
- brutál.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
- A hozzászóláshoz be kell jelentkezni
Lehet valaki torrent klienst futtat a szervereden. :)
- A hozzászóláshoz be kell jelentkezni
arról tudnék
- A hozzászóláshoz be kell jelentkezni
Nem feltétlen mindenre jó, de ha van lehetőséged nginx használatára akkor megoldás része lehet a HttpLimitZone modul ( http://wiki.nginx.org/HttpLimitZoneModule ).
- A hozzászóláshoz be kell jelentkezni
OFF:
gyors kérdés: Amikor az apache2 egyik indításnál úgy indul el hogy a folyamatainál a nice szint +19, az mitől lehet. Kövi restartnál visszaállt. Illetőleg egyetlen egyszer csinált ilyet.
- A hozzászóláshoz be kell jelentkezni