как бороться с ddos?

[Виктор Николаевич 96]

  В 25.01.2015 в 18:03, ttttt сказав:

В этом году новая проблема в том, что средний размер атаки перевалил за 10 гиг, так что почти никому и файрволы уже не помогут.

а какой тогда максимальный.....

[Виктор Николаевич 96]

  В 25.01.2015 в 18:06, ttttt сказав:

Я не верю, что у вас на всю сеть атака. Сори.

 

Ну и это к лучшему, что вы не верите - я не хотел бы чтобы у вас или у кого-то другого подобное происходило.

 

Под сетью я имел ввиду только один из диапазонов реальных айпишников в сети.

Відредаговано 2015-01-25 18:12:38 Виктор Николаевич

[kha0s 112]

  В 25.01.2015 в 18:06, Виктор Николаевич сказав:

 

  В 25.01.2015 в 18:03, ttttt сказав:

В этом году новая проблема в том, что средний размер атаки перевалил за 10 гиг, так что почти никому и файрволы уже не помогут.

а какой тогда максимальный.....

 

Я ж говорил - возьмите средний ботнет на 300-400 тысяч зомбихостов. Средняя скорость на нем пусть будет 10 Мбит/хост. Достаточно что-бы завалить крупный бэкбон. Ненадолго - BGP анонсы жертвы быстро покинут таблички маршрутизации.

[Виктор Николаевич 96]

  В 25.01.2015 в 18:11, kha0s сказав:

 

  В 25.01.2015 в 18:06, Виктор Николаевич сказав:

 

  В 25.01.2015 в 18:03, ttttt сказав:

В этом году новая проблема в том, что средний размер атаки перевалил за 10 гиг, так что почти никому и файрволы уже не помогут.

а какой тогда максимальный.....

 

Я ж говорил - возьмите средний ботнет на 300-400 тысяч зомбихостов. Средняя скорость на нем пусть будет 10 Мбит/хост. Достаточно что-бы завалить крупный бэкбон. Ненадолго - BGP анонсы жертвы быстро покинут таблички маршрутизации.

 

впечатлило.

но и такая атака "заказчику" будет стоить не 3 копейки, чтобы он выбрасывал несколько раз или систематически бабло...

[sokol33 54]

На меня тоже в пятницу 2 раза по 15 минут 8гиг провалило... Ддос зло...

[Виктор Николаевич 96]

  В 25.01.2015 в 18:26, sokol33 сказав:

На меня тоже в пятницу 2 раза по 15 минут 8гиг провалило... Ддос зло...

а через какой аплинк ?

[Петрович6 0]

начиная с 7 января ддосят практически не прекращая, у некоторых конкурентов по области тоже есть похожие проблемы, похоже на спланированную атаку на подсети провайдеров в украине..

[BARVIT 113]

И нам прилетело  

[ttttt 195]

  В 26.01.2015 в 08:18, Петрович6 сказав:

похоже на спланированную атаку на подсети провайдеров в украине..

Ага, конечно, а за вами лично снайперы не бегают?

 

Покажите статистику, как распределяется трафик ддоса по айпишникам подсети. Хотя я сомневаюсь, что она у вас вообще есть после "подсети провайдеров" атакуют. Скорее всего вы просто еще не разобрались что к чему.

[zulu_Radist 857]

что-то мне это все уже конкретно поднадоело

атаки участились

уже раз в 4 дня

с такими темпами я весь префикс в нулл загоню )))

 

если здесь есть та морда кому я насрал в тарелку напиши в лс

[Lambert 5]

схоже що всім потроху насипають...

недавно датагруп валявся, казали від того ж ддосу

[supportod 1]

Показывайте графики

[Melanxolik 63]

Fastnetmon и автоблэкхол.

Как тип трафика летит? Уверены что не reflection?

[zulu_Radist 857]

  В 18.01.2015 в 19:48, loki сказав:

 

  Цитата

адрес был выдан сегодня трем разным пользователям

 

 

Да забейте вы на адрес, который выдавался юзерам. В 90% случаев это ддос одних геймеров на других. Какие-то геймеры что-то не поделили, и теперь включили hping, или тому подобное на широком канале, с быстрым процессором.

 

что-то в ваших словах есть

вчера опять ддос утилизировал оба канала в полочку

посмотрел ip, записал кому он был выдан, выключаю этого юзера

звоню аплинку, добавляют блэкхол, отпускает

включаю абона, он получает новую айпишку, проходит 5 минут и приплывает уже на новый адрес этого юзера

отрубил его к чертям, звонит сегодня абон, провожу беседу, оказывается он злостный игроман в доту, вот и что с ним делать? 

[tkapluk 925]

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

[Ruslik 27]

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

Используется усиление атаки через дырки в ntpd.

Дырявому серверу бедбой шлет маленькие пакеты(64байта) с поддельными адресами(жертвы), в ответ сервер пускает на жертву udp пакеты максимально возможного размера(до 1500)

Технология такая же, как и в дырявом named когда-то.

[Melanxolik 63]

затулите все что не с 123 на 123 и все.

еще можете в дополнение создать список валидных ntp серверов  к которым обращаются ваши клиенты.

Відредаговано 2015-06-16 09:46:19 Melanxolik

[tkapluk 925]

  В 16.06.2015 в 09:11, Ruslik сказав:

 

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

Используется усиление атаки через дырки в ntpd.

Дырявому серверу бедбой шлет маленькие пакеты(64байта) с поддельными адресами(жертвы), в ответ сервер пускает на жертву udp пакеты максимально возможного размера(до 1500)

Технология такая же, как и в дырявом named когда-то.

 

Это все понятно. НО: входящих пакетов практически не было. 

[Phsm 19]

  В 16.06.2015 в 10:56, tkapluk сказав:

 

  В 16.06.2015 в 09:11, Ruslik сказав:

 

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

Используется усиление атаки через дырки в ntpd.

Дырявому серверу бедбой шлет маленькие пакеты(64байта) с поддельными адресами(жертвы), в ответ сервер пускает на жертву udp пакеты максимально возможного размера(до 1500)

Технология такая же, как и в дырявом named когда-то.

 

Это все понятно. НО: входящих пакетов практически не было. 

 

 

Если не было входящих пакетов, то откуда дос? Входящих-то как раз должно быть много.

[tkapluk 925]

  В 16.06.2015 в 11:14, Phsm сказав:

 

  В 16.06.2015 в 10:56, tkapluk сказав:

 

  В 16.06.2015 в 09:11, Ruslik сказав:

 

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

Используется усиление атаки через дырки в ntpd.

Дырявому серверу бедбой шлет маленькие пакеты(64байта) с поддельными адресами(жертвы), в ответ сервер пускает на жертву udp пакеты максимально возможного размера(до 1500)

Технология такая же, как и в дырявом named когда-то.

 

Это все понятно. НО: входящих пакетов практически не было. 

 

 

Если не было входящих пакетов, то откуда дос? Входящих-то как раз должно быть много.

 

так в этом и вопрос. Не сам же он взбесился.  

Смотрел трафик я только перед там как зарезать трафик, может он до этого получил кучу пакетов. 

[supportod 1]

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

А какой src ip прилетевших пакетов? Кого ддосят?

[tkapluk 925]

  В 25.06.2015 в 02:52, supportod сказав:

 

  В 16.06.2015 в 07:07, tkapluk сказав:

Вопрос по ддосу через NTP сервер. Сервер получает пачку пакетов с подмененными адресами и потом не спеша отвечает на них? Недавно смотрел трафик на ддосящей железке - входящих пакетов практически не было. 

 

А какой src ip прилетевших пакетов? Кого ддосят?

 

Ты думаешь я помню?  

Точно через мировой канал.

Бек резолв вроде как был в зоне .eu.

[supportod 1]

Netflow статистика все помнит.

Мне по NTP прилетают фейковые запросы с ip 188.163.239.74

 

Вижу овер 300 запросов в секунду на ntp сервис

...

04:57:30.548277 IP (tos 0x28, ttl 55, id 54902, offset 0, flags [DF], proto UDP (17), length 76)
    188.163.239.74.123 > XX.YYY.ZZ.UU.123: [udp sum ok] NTPv4, length 48
        symmetric active, Leap indicator: clock unsynchronized (192), Stratum 0 (unspecified), poll 10 (1024s), precision -1
        Root Delay: 39874.023559, Root dispersion: 186.972640, Reference-ID: (unspec)
          Reference Timestamp:  0.721465647
          Originator Timestamp: 3640903050.539531290 (2015/05/18 04:57:30)
          Receive Timestamp:    3640903050.539531290 (2015/05/18 04:57:30)
          Transmit Timestamp:   3640903050.539531290 (2015/05/18 04:57:30)
            Originator - Receive Timestamp:  -0.000000000
            Originator - Transmit Timestamp: -0.000000000

Відредаговано 2015-06-25 16:28:51 supportod

[tkapluk 925]

 

 

  В 25.06.2015 в 16:27, supportod сказав:

Netflow статистика все помни

если б была нетфло статистика я б не задавал тут такие вопросы.