kha0s Posted January 19, 2015 at 10:28 AM Posted January 19, 2015 at 10:28 AM Таки понимаю что дос просто детский... Речь вообще не про ddos. Ответы исчерпывающие давно даны. 10 минут... два часа... Да хоть год - сколько хозяину ботнета оплатили, столько будет идти.
martin Posted January 19, 2015 at 12:47 PM Posted January 19, 2015 at 12:47 PM детский ддос - это если у тебя канал 10Г а входящий ддос 1-2-5 гиг, тогда все ок. но если трафик ддоса занимает всю полосу которую выделил тебе аплинк - никакие крутилки сисцтл и фаерволы ничему не помогут, только блекхол через аплинка.. Поэтому если не сталкивались с такой ситуацией - смысла советовать нет
md5 Posted January 19, 2015 at 12:50 PM Posted January 19, 2015 at 12:50 PM Обозвался тот который хоть раз с досом боролся. Люди которые читают эту тему знают о чем я говорю. Возможно быть и подтвердят
martin Posted January 19, 2015 at 01:19 PM Posted January 19, 2015 at 01:19 PM 2 md5 - у тебя проблема с восприятием ?? перечитай мой пост еще разок. То о чем ты говоришь никак не повлияет на проблему ТС или удп ддос и тебе это говорили уже.
Sоrk Posted January 19, 2015 at 02:52 PM Posted January 19, 2015 at 02:52 PM возможно поможет прописать весь пул внешних адресов на НАСе так route add -net 123.34.56.0/24 127.0.0.1 -reject в таком случае трафик на невыданные адреса будут reject'ится, а на выданные роутится, поскольку будет более детальный маршрут. мне такое помогло когда были атаки на выданные адреса из пула для статик-НАТа.
kha0s Posted January 19, 2015 at 02:53 PM Posted January 19, 2015 at 02:53 PM возможно поможет Не поможет. Поинтересуйтесь чем udp от tcp отличается.
martin Posted January 19, 2015 at 05:25 PM Posted January 19, 2015 at 05:25 PM 2 kha0s - тут похоже с удп вообще мало кто сталкивался ))
tkapluk Posted January 19, 2015 at 07:12 PM Posted January 19, 2015 at 07:12 PM как бороться с ddos? Находишь контору которая специализируется на защите от ddos, строишь к ним туннель и анонсируешь через них нужные подсети. Они за бабло борются за тебя, и пропускают тебе только нужный трафик.
zulu_Radist Posted January 24, 2015 at 06:55 PM Author Posted January 24, 2015 at 06:55 PM опять та же петрушка попросил ЕТТ закинуть айпишку жертвы в блекхол помогло
Виктор Николаевич Posted January 24, 2015 at 07:08 PM Posted January 24, 2015 at 07:08 PM опять та же петрушка попросил ЕТТ закинуть айпишку жертвы в блекхол помогло поливали DDoS'ом конкретный адрес или подсеть ?
zulu_Radist Posted January 24, 2015 at 07:34 PM Author Posted January 24, 2015 at 07:34 PM конкретный адрес с разных айпишек приплыло 200 тысяч upd пакетов в сек
Виктор Николаевич Posted January 24, 2015 at 09:53 PM Posted January 24, 2015 at 09:53 PM конкретный адрес с разных айпишек приплыло 200 тысяч upd пакетов в сек Сколько канала съело ?
md5 Posted January 25, 2015 at 04:20 PM Posted January 25, 2015 at 04:20 PM Как то было дело давно.. Похожая ситуация была. Я нашел кому принадлежит данный айпи и написал письмо провайдеру. В течении часа получил от них о блокировки данного айпи. Ну а Вам могу посоветовать, связаться с теми кто дает канал что бы устранили проблему, ну или пробуйте сами писать письмо провайдеру с которого идет флуд
kha0s Posted January 25, 2015 at 04:44 PM Posted January 25, 2015 at 04:44 PM Как то было дело давно.. Похожая ситуация была. Я нашел кому принадлежит данный айпи и написал письмо провайдеру. В течении часа получил от них о блокировки данного айпи. Тема про _D_dos. А не Вася обиделся на Петю и запустил флуд пинг. От ддос спасения нету. Вообще. Вот алгоритм работы среднего ботнета (ну допустим по 300 тысяч зомби девайсов - кофеварки, телики, роутеры, компы - все что подключено к сети). Средняя скорость доступа у всех пусть будет 10 Мбит. Девайсы разбросаны по всему миру. В том числе и в Вашей сети. Заказчик оплачивает хозяину ботнета неделю ддоса. По команде каждый зараженый девайс начинает штормить диапазон указанных IP. Если возможет спуфинг (проверка такая производится) - спуфит, если нет - просто флудит. Размер пакета - динамический, наполнение - динамическое. Полоса - 40-60% от возможной, динамика - абы визуально не вычислили. Теперь представь что тебе со всех дыр идет поток мусора. Критерий один - он по udp. Больше привязаться не к чему. Давай, защищайся. Да, аплинки твои тоже уже умерли.
zulu_Radist Posted January 25, 2015 at 05:33 PM Author Posted January 25, 2015 at 05:33 PM конкретный адрес с разных айпишек приплыло 200 тысяч upd пакетов в сек Сколько канала съело ? график rrd успел отрисовать левака на 500 мбит но я думаю приплыло на самом деле больше я среагировал очень быстро, атака была в чнн в итоге я так понял единственное действенное решение в такой ситуации только использование Routing Blackhole (Null-route)
Виктор Николаевич Posted January 25, 2015 at 05:34 PM Posted January 25, 2015 at 05:34 PM (edited) Как то было дело давно.. Похожая ситуация была. Я нашел кому принадлежит данный айпи и написал письмо провайдеру. В течении часа получил от них о блокировки данного айпи. Тема про _D_dos. А не Вася обиделся на Петю и запустил флуд пинг. От ддос спасения нету. Вообще. Вот алгоритм работы среднего ботнета (ну допустим по 300 тысяч зомби девайсов - кофеварки, телики, роутеры, компы - все что подключено к сети). Средняя скорость доступа у всех пусть будет 10 Мбит. Девайсы разбросаны по всему миру. В том числе и в Вашей сети. Заказчик оплачивает хозяину ботнета неделю ддоса. По команде каждый зараженый девайс начинает штормить диапазон указанных IP. Если возможет спуфинг (проверка такая производится) - спуфит, если нет - просто флудит. Размер пакета - динамический, наполнение - динамическое. Полоса - 40-60% от возможной, динамика - абы визуально не вычислили. Теперь представь что тебе со всех дыр идет поток мусора. Критерий один - он по udp. Больше привязаться не к чему. Давай, защищайся. Да, аплинки твои тоже уже умерли. К этому еще можно добавить один пункт DDoSa, что при использовании жертвой другого блока айпишников - DDoS начинает литься уже на новый диапазон адресов жертвы через 2-2,5 часа. Так будет намного интереснее и актуальнее на сегодня. В моем случае, на наши адреса был именно такой вид атаки DDoS. Edited January 25, 2015 at 05:39 PM by Виктор Николаевич
Виктор Николаевич Posted January 25, 2015 at 05:37 PM Posted January 25, 2015 at 05:37 PM конкретный адрес с разных айпишек приплыло 200 тысяч upd пакетов в сек Сколько канала съело ? график rrd успел отрисовать левака на 500 мбит но я думаю приплыло на самом деле больше я среагировал очень быстро, атака была в чнн в итоге я так понял единственное действенное решение в такой ситуации только использование Routing Blackhole (Null-route) + к этому Blackholе должен передаваться по цепочке аплинков вверх.
kha0s Posted January 25, 2015 at 05:41 PM Posted January 25, 2015 at 05:41 PM + к этому Blackholе должен передаваться по цепочке аплинков вверх. Если атака действительно серьезная - бывает аплинки блекхолят раньше чем админы собственно сети которую атакуют. Хорошо если атакуют действительно конкретного клиента а не всю сеть.
Виктор Николаевич Posted January 25, 2015 at 05:50 PM Posted January 25, 2015 at 05:50 PM (edited) + к этому Blackholе должен передаваться по цепочке аплинков вверх. Если атака действительно серьезная - бывает аплинки блекхолят раньше чем админы собственно сети которую атакуют. Хорошо если атакуют действительно конкретного клиента а не всю сеть. Это верно, хорошо если конкретного клиента атакуют, но если всю сеть - то это уже серьезно. У нас такие методы пользует один обезбашенный на всю голову конкурент, DDoS'ит всю сеть, потом бегает пытается обосрать нас и переманить абонов. Ребята, как думаете, какое наказание такому человеку нужно за это ?! Edited January 25, 2015 at 05:51 PM by Виктор Николаевич
ttttt Posted January 25, 2015 at 05:54 PM Posted January 25, 2015 at 05:54 PM Хорошо если атакуют действительно конкретного клиента а не всю сеть.Ну тогда я вас обрадую, такие хорошие атаки только и случаются, а на всю сеть - нет
kha0s Posted January 25, 2015 at 06:00 PM Posted January 25, 2015 at 06:00 PM Ну тогда я вас обрадую, такие хорошие атаки только и случаются, а на всю сеть - нет Да, у нас только такие (тьфу-тьфу) и происходили. Но жесткие. Беглый анализ дампов netflow подтверждал что разброс src-ip/port такой что что-то там по src пытаться фильтровать на аплинке бессмысленно.
ttttt Posted January 25, 2015 at 06:03 PM Posted January 25, 2015 at 06:03 PM В этом году новая проблема в том, что средний размер атаки перевалил за 10 гиг, так что почти никому и файрволы уже не помогут.
Виктор Николаевич Posted January 25, 2015 at 06:04 PM Posted January 25, 2015 at 06:04 PM Хорошо если атакуют действительно конкретного клиента а не всю сеть.Ну тогда я вас обрадую, такие хорошие атаки только и случаются, а на всю сеть - нет Вам везет, если атаки только на конкретного клиента, а не на всю сеть.
ttttt Posted January 25, 2015 at 06:06 PM Posted January 25, 2015 at 06:06 PM Я не верю, что у вас на всю сеть атака. Сори.
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now