DoS támadások ellen védekezés

Hát az elosztott DoS ellen tényleg nem véd az iplimit, de amikor egy gépről szimultán érkezik sok csomag, az ellen tökéletesen. Elosztott elllen meg ott a sima limit: mondjuk 8000/min, vagy akármi. Egy nagy portál akár 10.000 kérést is kiszolgálhat percenként. A saját géped terheltségétől függően állítsd be a számokat.

Azt hiszem meg lehetne nézni az iptables limit "burst" kapcsolóját is; ez még csökkenti a logolást... (ha már utalt rá vki akkor bocs) :)

[quote:b39bad83b2="szgabor"]Azt hiszem meg lehetne nézni az iptables limit "burst" kapcsolóját is; ez még csökkenti a logolást... (ha már utalt rá vki akkor bocs) :)

Csak linkben volt benne :)

-m limit --limit 3/min --limit-burst 8 -j ACCEPT

ezt icmp echo-ra próbáltam ki

működése az volt, hogy az első 8-at elfogadta, utána meg már csak 20 mp-enként egyet (folyamatos ping mellett), így percenként csak 3-at engedett.

Egyvalamit nem láttam még: a -m limit az teljesen jó, de ha csak a logot akarod kímélni, akkor pl érdemes a limitet és a -J LOG-ot együtt használni.

Ha nem terminális targettel használod a limitet, akkor is műxik, de a fennti kombó pl. csak a logbejegyzéseket limitálja:
[code:1:7f9f00eeae]
iptables -A INPUT -p tcp --dport 80 --syn -m limit --limit 3/min --limit-burst 10 -J LOG --log-prefix "Syn -> [HTTP]: "
[...]
iptables -A INPUT -p tcp --dport 80 -J ACCEPT
[/code:1:7f9f00eeae]

Ez pl. beír tizet, ebből látszik hogy valami sügér ráfeküdt az F5-re, aztán csak 20 s- ként egyet, ettől függetlenül az összes csomag bejön, és a szerver kezeli őket "ha akarja az apacs majd letiltja" alapon.

[quote:0276ed4975="cemaq"]Üdv mindenkinek!

Tehát a kérdés/probléma az lenne, hogy van egy rendszerem (Debina sid), és ez serverként is üzemel, és emiatt annak rendje és módja szerint LOG-olok mindent (apache,postfix,ssh,.. és iptables). A gondom az, hogy már részese voltam (szándékosan) egy olyan támadásnak, ahol arra mentek, hogy a LOG-ot töltsék meg.
(Ez 512MB-s winyójú rendszeren történt, kb 250 MB volt szabad, és ez kb 3-5 óra alatt betellt).
Ez a támadás az iptables SSH-logját érintette csak, tehát ennél komplexebb módon is el lehet követni egy ilyet. A kérdésem: ez ellen hogyan lehetne védekezni?

Indulásnak: http://iptables-tutorial.frozentux.net/iptables-tutorial.html
és pl percenként csak 3 csatlakozást engedélyezel:
[code:1:0276ed4975]$IPT -A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -j ACCEPT
$IPT -A input_ext -p tcp -m tcp --dport 22 -j DROP
[/code:1:0276ed4975]

[quote:07978ccee9="cemaq"]Üdv mindenkinek!

Tehát a kérdés/probléma az lenne, hogy van egy rendszerem (Debina sid), és ez serverként is üzemel, és emiatt annak rendje és módja szerint LOG-olok mindent (apache,postfix,ssh,.. és iptables). A gondom az, hogy már részese voltam (szándékosan) egy olyan támadásnak, ahol arra mentek, hogy a LOG-ot töltsék meg.
(Ez 512MB-s winyójú rendszeren történt, kb 250 MB volt szabad, és ez kb 3-5 óra alatt betellt).
Ez a támadás az iptables SSH-logját érintette csak, tehát ennél komplexebb módon is el lehet követni egy ilyet. A kérdésem: ez ellen hogyan lehetne védekezni?

talan ugy kikapcsolod az ostoba logolast es csak azt logolod ami muszaj

Van így is ötletem, de lehet, hogy programot kell írni rá: QUEUE target, és userspace program kapja meg a csomagokat. Az iptables -j QUEUE -h nem mondott túl sokat.

Használhatóbb:
http://www.davidcoulson.net/writing/lxf/39/iptables.pdf

This adds CONFIG_IP_NF_MATCH_IPLIMIT
match allows you to restrict the number of
parallel TCP connections to a server per client
IP address (or address block).
Examples:
# allow 2 telnet connections per client host
iptables -p tcp --syn --dport 23 -m iplimit --iplimit-above 2 -j REJECT
# you can also match the other way around:
iptables -p tcp --syn --dport 23 -m iplimit ! --iplimit-above 2 -j ACCEPT
# limit the nr of parallel http requests to 16 per class C sized
# network (24 bit netmask)
iptables -p tcp --syn --dport 80 -m iplimit --iplimit-above 16 -plimit-mask 24 -j REJECT

[quote:d17072f134="cemaq"]Köszi Panther az ötletet, de ha jól látom, akkor ez percenként csak 3 új kapcsolatot enged (IP-től függetlenül).

Esetleg finomithatod tovabb ugy ezt a megoldast, hogy megfigyeled, h atlagosan hany uj kapcsolat letesul adott szolgaltatas portjara percenkent( { date && netstat -antp | grep :port ;} > service.txt, pl, cronbol percenkent meghivod), es ez alapjan allitod a limitet.

[quote:8e29d715a8="cemaq"]
2: A problémával ekvivalens kérdés: Hogyan lehetne a limit-es megoldást úgy korlátozni, hogy IP-hez illeszkedjen.

-m iplimit kettővel feljebb. Write only voltál!

Nem kifejezetten DoS támadás, de talán ide sorolható leginkább.
Adva van egy apache webszerver, rajta sok virtualhost. Néhány weboldal bizonyos php fájljait rosszindulatú emberek belinkelték a saját oldalukba (nem ezen a szerveren hostolnak). Amikor látogatják az oldalukat, meghivódnak a mi php fájljaink is. Ahogy nő látogatottságuk, egyre többször hivódik meg. Az oldalukon semmi nem látszik, mert img src taggal szúrták be.

IP-t tiltani nem lehet, hiszen a látogatók otthoni gépéről jönnek a kérések.
Írtam egy scriptet ami átnézve a logokat, kiszűri a gyanúsan sokszor előforduló referer oldalakat, igy azokat egy statikus lapra irányitom. Ezzel sok erőforrást nyertem. Legalább a PHP & MySQL nem pörög.
Azonban nagyon sok apache szálat lefoglalnak, hiába emeltem kétszeresére, még mindig koppon jár.
300-ról 600-ra állítottam, magasabbra nem merem, mert ha megváltoztatják a refererként szolgáló fájl nevét, nem veszem észre időben, lerohasztják a szervert. (Képesek voltak már mind a 4 CPU magot 100%-on hajtani....)

Szóval, hogy lehetne tehermentesíteni az apache-ot ezektől a kéretlen kérésektől?
Legjobb lenne iptablessel, de ugye csak a refererrel tudnám megfogni őket, ami ott nem használható:(

Kinek milyen ötlete van?
Előre is köszönöm.