Onderwerp: 's- Werelds grootste DDoS aanval in de VS en Europa

Door Joost Schellevis, donderdag 13 februari 2014 17:39, reacties: 17, views: 3.813 • Feedback
Bij de ddos-aanval op Cloudflare, naar verluidt de grootste ddos-aanval ooit, zijn ook Nederlandse ntp-servers gebruikt. Door een kwetsbaarheid in het network time protocol kunnen ntp-servers worden gebruikt door een aanvaller om zijn capaciteit te vergroten.

Source: tweakers.net

Deze zag ik eergisteren al voorbij komen (waarom dagen later Tweakers?) maar wegens verbouwing vergeten te posten.
http://www.itnews.com.au/News/372033...s-strikes.aspx

Best indrukwekkend te noemen en geeft maar weer eens aan welke problemen we in de toekomst kunnen verwachten. Ga er maar aan staan, 400Gbps!

harlan
• 3 days ago

This is a real easy problem to fix - one just needs to either have a better config file from the vendor, or add a simple line or two to the config file. The double-edged sword is that NTP's monitoring capabilities are very useful, and simply disabling them means people who have good/valid reasons for getting that information are unable to get it. It takes a bit more work to make it so certain folks can get the information, and others can't.

blocker
• 3 days ago

If you are just talking about hardening the NTP server then yes, it is
easy to fix. But that is not really the root problem, NTP is just one
UDP based protocol that can be exploited by UDP amp attacks. As
described here: http://www.us-cert.gov/ncas/al...

The only way to really protect yourself is to setup ingress filtering on
your firewall. In essence your firewall looks at all (external) incoming
packets and if the source claims to be one your own IP's then the
packet has been spoofed and should be dropped.

The problem with this is everyone must do it to be effective.

En jullie?

Dat is aardig wat ja ik kan enkel niet geloven dat het nu de 2e keer is dat CloudFlare dat grootste DDOS opeist.
Terwijl EA , Google , VISA noem maar op ook vaak doelwit zijn.
Al is dit natuurlijk erg goede reclame voor CloudFlare.

Helaas is 400gb snel te halen met ntp aangezien je er gemakkelijk een 400-450x amplification mee kunt krijgen waardoor je met 1 GB link als op die 400GB zit.

Ik snap ook niet goed waarom iedereen maar een ntp server moet hebben open staan. Vast omdat een yum install gewoon een brakke config heeft en geen hond denkt dat ntp updaten nodig is.

1) update ntp naar een versie die monlist gedumpt heeft.
2) ben je daar te lui voor dan run het ding client-only door er restrict default ignore in te mikken
3) knal er direct disable monitor in. Ik heb op 20 jaar nog niet 1 keer die functie nodig gehad...

Wil je toch persé servertje spelen dan limiteer de ip's en rate-limit de responses.

Ja, wij deden onbewust ook mee met deze attack :-(
NTP op de routers was netjes gefirewalled, maar het bleek dat via IPv6 deze aanval ook was opgezet.

Ik had hier 1 Januari 2014 ook last van. ( unmanaged vps van een klant)
Bleek te gaan om: http://www.symantec.com/connect/blog...ection-attacks
Ik zou niet raar opkijken als die aanval rond kerst/nieuwjaar door de zelfde lui is gedaan als bij Cloudflare.

Oorspronkelijk geplaatst door systemdeveloper

Helaas is 400gb snel te halen met ntp aangezien je er gemakkelijk een 400-450x amplification mee kunt krijgen waardoor je met 1 GB link als op die 400GB zit.

Ik snap ook niet goed waarom iedereen maar een ntp server moet hebben open staan. Vast omdat een yum install gewoon een brakke config heeft en geen hond denkt dat ntp updaten nodig is.

1) update ntp naar een versie die monlist gedumpt heeft.
2) ben je daar te lui voor dan run het ding client-only door er restrict default ignore in te mikken
3) knal er direct disable monitor in. Ik heb op 20 jaar nog niet 1 keer die functie nodig gehad...

Wil je toch persé servertje spelen dan limiteer de ip's en rate-limit de responses.

Kan meerdere redenen hebben. Standaard staat het aan in IPMI van Supermicro, standaard staat het aan in ESXi, standaard staat het aan op JunOS (Juniper) en op nog tal van software. Wanneer men dit niet weet doe je automatisch mee in een aanval.

Misschien zou een forumonderdeel wel handig zijn met enerzijds uitgebreide discussies over het opzetten van vlans, firewalls, services, users e.d. en een ander onderdeel met read-only stickies van best-practices.

Oorspronkelijk geplaatst door systemdeveloper

Misschien zou een forumonderdeel wel handig zijn met enerzijds uitgebreide discussies over het opzetten van vlans, firewalls, services, users e.d. en een ander onderdeel met read-only stickies van best-practices.

Be my guest. Ik vind WHT allang niet meer wat het was, mede door de scherpe regels en moderators/administrators die hier op geilen (lijkt het wel).

Oorspronkelijk geplaatst door systemdeveloper

Misschien zou een forumonderdeel wel handig zijn met enerzijds uitgebreide discussies over het opzetten van vlans, firewalls, services, users e.d. en een ander onderdeel met read-only stickies van best-practices.

Dat kan binnenkort perfect op de wiki komen

Oorspronkelijk geplaatst door xaban

Be my guest. Ik vind WHT allang niet meer wat het was, mede door de scherpe regels en moderators/administrators die hier op geilen (lijkt het wel).

Blijkbaar is dit nodig, als bepaalde users zich daar niet aan willen houden....

Oorspronkelijk geplaatst door xaban

Be my guest. Ik vind WHT allang niet meer wat het was, mede door de scherpe regels en moderators/administrators die hier op geilen (lijkt het wel).

Loop je mijn reactie nou te wijzigen, aan welk regel voldoet mijn reactie dit keer niet?

Oorspronkelijk geplaatst door xaban

Loop je mijn reactie nou te wijzigen, aan welk regel voldoet mijn reactie dit keer niet?

Ik dacht te quoten, en deed wijzigen. Zoals je ziet netjes hersteld.

Ontopic mensen!


Sent from my iPhone using webhostingtalk mobile app

Hier ook een ESXi bak die vrolijk meedeed, gelukkig snel door. NTP stond altijd uit, maar bij een upgrade was het ding stellig weer aangegaan. Op servers waar NTP op draait is het de recentste versie of staan de door systemdeveloper genoemde punten in de config.

Shit happends Gehackte Joomla meuk is dagelijkse kost, dit is eens een niet standaard melding