Bekijk Volledige Versie : Anti ddos beveiliging voor debian?
Iemand had mij gevraagd om zijn server na te kijken en te beveiligen.
Het gaat om een chat server met enkele duizenden leden..
Er was van alles mis op die server en ik heb de volgende stappen gedaan,
1: csf/lfd firewall erop gezet en alles "goed" ingesteld.
2: /tmp beveiligd
3: Systeem geupdate
4: mod_antilores en mod_evasive geinstaleerd (anti ddos beveiliging)
De rest is even niet van belang, het ging mij erom om de ddos te laten stoppen.
Wat ik heb gehoord is dat iemand moderator wilde worden op die chatserver.
Het is een jongen van 15 jaar en die heeft een irc bot opgezet vanaf een server uit Iran.
We hebben de logs en screenshots (mirc) van die 15 jarige in ons bezit, ook van de bots.
Die jongen had vervolgens verteld zolang die geen moderator werd hij de server regelmatig wilde aanvallen met ddos.
De chatserver staat in Nederand en hij wordt gebruikt in Kosovo.
In Kosovo krijg je van je provider een shared dynamic IP.
Die 15 jarige woont ook in Kosovo, het is niet mogelijk om zijn IP telkens te blokkeren omdat op hetzelfde netwerk ook moderators zitten voor de chat.
Verder..
De aanvallen kwamen eerst uit zuid amerika, die zijn tegen gehouden nu.
Daarna kwamen de aanvallen uit Zweden, die zijn ook tegen gehouden.
Gisteren kwamen de aanvallen uit Amerika, die zijn ook tegen gehouden.
Nu ga ik er van uit dat er binnenkort een andere bot wordt opgezet vanuit een ander land.
Hoe is dit op te lossen?
Die 15 jarige moderator maken valt af, de server eigenaar laat zich niet chanteren.
Complete landen blokkeren kan ook niet omdat de server wordt gebruikt door Kosovaren die over de hele wereld zitten.
Een aanklacht indienen is ook moeilijk lijkt me.
Heeft er iemand raad?
wat voor soort (d)dos is het?
wat voor soort (d)dos is het?
Netwerk (bandbreedte limieten) / SYN flood
Een aanklacht indienen is ook moeilijk lijkt me.
Hoezo, je kan om te beginnen al een abuse melding zenden naar de netwerkbeheerder vanwaar de attacks plaats vinden. Eventueel ook naar de provider van die 15 jarige jongen.
Om het dan even over de technische zaak te hebben, maar je kan geen ddos tegenhouden vanop de server die de aanval krijgt. Dit simpel weg omdat de server de aanval nog krijgt maar gewoon een drop of reject terug zend. Dus is de traffic op de server niet weg genomen. En daarmee zal de cpu utilisation weg gehaald worden van main progs om firewall te kunnen draaien. En hiermee verleg je gewoon het probleem, ik zou je dan ook aanraden contact op te nemen met je eigen netwerk provider om samen naar een goede oplossing te zoeken (want je netwerk provider zal waarschijnlijk ook niet graag die ddos op zijn netwerk willen hebben).
PS: Over hoeveel mbits aan ddos hebben we het hier eigenlijk?
En hiermee verleg je gewoon het probleem, ik zou je dan ook aanraden contact op te nemen met je eigen netwerk provider om samen naar een goede oplossing te zoeken (want je netwerk provider zal waarschijnlijk ook niet graag die ddos op zijn netwerk willen hebben).
PS: Over hoeveel mbits aan ddos hebben we het hier eigenlijk?
Het is niet mijn server en netwerk gelukkig, ik beheer hem even tijdelijk totdat het probleem opgelost is.
Hieronder een grafiek vanaf 01-09-2009 tot 07-09-2009
DennisWijnberg
07/09/09, 10:43
Is het een "anti ddos beveiliging"? Dus het moet alarm slaan als er een ddos beveiliging optreedt? :)
Is het een "anti ddos beveiliging"? Dus het moet alarm slaan als er een ddos beveiliging optreedt? :)
Je hebt de slaap beter uit dan ik :)
Het moest zijn: Anti ddos en beveiliging voor debian?
http://www.cyberciti.biz/tips/linux-iptables-10-how-to-block-common-attack.html
hier staan wat basis iptable regeltjes tegen een paar soorten aanvallen... neemt niet weg dat het alsnog aan komt op die bak.. beste wat je kunt doen is even overleggen met je netwerk leverancier :)
beste wat je kunt doen is even overleggen met je netwerk leverancier :)
Bedank voor het antwoord, ik heb al 2 keer aangegeven dat het niet mijn server en netwerk is.
Je zal bedoelen met de netwerk leverancier waar de server staat.
Dit hebben we al gedaan, er wordt voor de server meer dan 100,- per maand betaald zonder SLA
Wat ik begrepen heb willen ze wel wat doen tegen extra kosten.
Ik zat zelf te denken aan een hardware firewall, nu weet ik niet of dat nut heeft?
Bedank voor het antwoord, ik heb al 2 keer aangegeven dat het niet mijn server en netwerk is.
Je zal bedoelen met de netwerk leverancier waar de server staat.
Dit hebben we al gedaan, er wordt voor de server meer dan 100,- per maand betaald zonder SLA
Wat ik begrepen heb willen ze wel wat doen tegen extra kosten.
Ik zat zelf te denken aan een hardware firewall, nu weet ik niet of dat nut heeft?
Hardware firewall van je provider heeft zeker nut, aangezien die traffic dan niet meer toekomt op server die je beheert. En ze hier dan ook geen traffic kosten voor kunnen rekenen. Overigens hebben hardware firewall ook meestal IPS/IDS en is de hardware specifiek afgesteld op firewalling. En indien je provider hier teveel last van krijgt kunnen zij ook makkelijker (al dan niet juridische) stappen ondernemen.
Enkele bedenkingen:
1) mod_evasive voor een chatserver?
2) Op je firewall (bij voorkeur bij je netwerkprovider): allow TCP op 113, 6660-6669 + hub poort; allow TCP 22 van specifieke IP's; allow UDP op poorten 53 & 123 van DNS/NTP IP's. Drop al de rest.
3) Vergeet dat je die jongen kunt vervolgen... Buiten dat hij minderjarig is, en je hem bij wijze van spreken hooguit huisarrest doet krijgen, ga je de verloren kosten niet terugzien.
Dat is zowat mijn advies, meer kun je niet doen. Als je netwerkbeheerder echter niet meehelpt, dan heb je een probleem. Je hebt 1x100 mbit, en als dat vol zit, dan zit het ook vol (packetloss), en droppen de connecties. Dat is wat je eigenlijk moet zien te vermijden... Er zijn nog opties om bvb je kernel te optimizen zodat het OS zelf de packets beter kan afhandelen, maar zonder upstream support heeft dit weinig zin.
Enkele bedenkingen:
1) mod_evasive voor een chatserver?
Het is geen irc chat.
De chat waar het om gaat heet: Red5 flash streaming server.
6660-6669 stond al dicht.
Dat verklaart al iets... Dan vrees ik dat je helemaal in de soep zit eigenlijk zonder ondersteuning van je netwerk host...
Zo'n vermoeden had ik ook al Goendi
Ik wacht nog even op meer antwoorden hier..
Iets wat ik ooit bedacht, maar ook dat heeft bandbreedte nodig (en in dit geval, bijkomende lokaties vermoedelijk), is een transparent proxy. je stelt deze op op diverse lokaties en laat ze relayen naar de eigenlijke chat server, op verschillende IP's in verschillende vlan's/ranges. Dit kan, op grotere schaal, de impact van een DDoS aanval op de eigenlijke service alvast inperken.
Het is niet mijn server en netwerk gelukkig...
Ben ik ook blij mee :)
vrgr. Eef
Zal best Eef.
Je bent de enigste geloof ik die gelezen heeft dat het niet mijn spul is.
-
Nu graag weer ontopic..
Bij een DDOS gewoon de netwerkprovider bellen die de boel laten nullrouten. Even uitzingen, zo'n DDOS stopt vanzelf wel een keer.
Niet dat het technisch wat bijdraagt, maar 'ervaring' leert dat ze snel genoeg verveeld raken.
'ervaring'? :) Welke 'ervaring' refereer je dan naar? Idem voor nullrouten... Als het zo simpel was...
1. Nullrouting is een final resort. Het haalt je dienst onderuit, en dat is net wat ze willen bereiken (en nu moeten ze er geen moeite voor doen). Wat wel handig is is target nullrouting zoals ik het noem. Echter, dan heb je bijstand van je upstreams nodig, en die zien liever cash dan moeite (en zij moeten dan overigens zelf de kosten dragen van de DDoS). Nullrouting als het wondermiddel rondbazuinen... No no.
2. DDoS verveelt niet altijd. Al vele jaren draai ik IRC related applicaties. Geregeld trekt dat eens 10+ gbit binnen. Wordt allemaal lekker gefiltert, alhoewel lekker... De bill stijgt, het valt vaak voor op momenten dat je nou net druk bezig bent om eens te gluren en (jawel) zonder de nodige actie gaat het aardig door bij momenten. Stoppen? No no.
Ik zal het er op houden dat ik iets semi-ddos-magnet heb draaien waar wel'ns wat mensen pissed off raken. Valt dan meestal weinig tegen te doen, begin maar eens een 30k botnet tegen te houden dat random pagina's op een forum begint te laden. Als die er allemaal 1 om de 30 seconden afhalen zit je nog op 1000 hits per seconde wat die server niet trekt, zeker niet als dat bijv. searches zijn. Kan je weinig tegen beginnen dan wachten, ik alleszins dan toch. Kan zijn dat er wel wat tegen te doen is zonder gewone gebruikers te hinderen, maar daar heb ik onvoldoende kennis voor.
Meestal stoppen die wel na een paar uur, dag, soms 2, veel langer nog niet gehad.
Die botnets worden her en der aangeboden voor een paar honderd dollar, lang moet je echt niet zoeken.
Volgens de msn chat had hij 2000 bots.
De prijs voor deze is 400,- Euro maar hij maakte de bots zelf.
De chat berichtgeschiedenis heb ik in handen gekregen via via..
-
Hieronder een screenshot
Dure kerel om daar €400 voor te vragen. (niet verkeerd interpreteren)
Herbert, die gast is een kleine garnaal ;) En bovendien een opschepper eerste klas :) Ik herken het script dat die gebruikt al :P Easy te counteren... Zeker als het een UDP flood is ;)
Ok... maar hoe hou je zo'n kleine garnaal tegen?
Filters op edge van u netwerk. Zoals hij DDoS'd gaat het vnl om bandbreedte. bandbreedte vullende DDoS is veruit het makkelijkst af te houden. grote hoeveelheden kleine packets, gericht naar u core services (bvb u bgpd, dns, ...) zijn vaak het lastigste om tegen te gaan. Met goeie Juniper gear kom je bvb al een eind.
hrodenburg
07/09/09, 23:00
Zoals Herbert al zegt heeft hij geen (of weinig) invloed op het netwerk, alleen de achterliggende server. Herbert, kun je niet rate-limitten met behulp van iptables? Dan heb je de packets in ieder geval niet op je irc daemon.
Fantastisch idee. Kabeltje 100mbit. 100mbit zit vol, dus laten we rate limiten op de ircd, dan is alle packetloss totaal in rook opgegaan en is alles opgelost...
Ik zei net dat hij het op de edge van het netwerk moet laten regelen, omdat je anders echt niks kunt uithalen. En dat zei ik ook omdat hij al aangaf dat het geen IRCd is, wat het nog allemaal pak moeilijker maakt.
Bedankt voor de tips en antwoorden zover.
We gaan nu eerst verdere maatregelen nemen..
Als het puur om BW vulling gaat, kan je weinig doen. Als de ddos 20Gbps is, en jij hebt bv 100Mbps uplink, heeft filteren weinig zin. Het komt door je uplink, en die raakt vol. Of je het dan nog doorlaat naar je server of niet of je het filtert op je edge, maakt eigenlijk weinig uit.
Ik heb zojuist bericht gekregen van degene die de server gehuurd heeft.
-
Het is mogelijk een hardware firewall voor uw dedicated server te plaatsen.
De kosten hiervoor bedragen EUR 125,00 per maand.
-
Nu betaald die al € 89.95 excl. per maand, het totale bedrag zal dus neerkomen op € 214,95
Ik noem geen namen waar hij de dedicated server heeft afgenomen maar deze bedragen slaan natuurlijk nergens op.
Ik heb zojuist bericht gekregen van degene die de server gehuurd heeft.
-
Het is mogelijk een hardware firewall voor uw dedicated server te plaatsen.
De kosten hiervoor bedragen EUR 125,00 per maand.
-
Nu betaald die al € 89.95 excl. per maand, het totale bedrag zal dus neerkomen op € 214,95
Ik noem geen namen waar hij de dedicated server heeft afgenomen maar deze bedragen slaan natuurlijk nergens op.
Wat denk je dat een stevige hardware firewall kost? :)
En als dat inclusief updates en full management is .. goede prijs.
Die bedragen voor dergelijke appliances, beheer en hosting komen nog best "goedkoop" uit. Je krijgt 2x managed server, 2 units, traffiek. DDoS beveiliging is over algemeen niet goedkoop...
We hebben van de TS nog steeds niet gehoord om wat voor (d)dos het gaat. Er is dus een kans dat een hardware firewall nog niet zal helpen het probleem op te lossen.
Maar 125 voor een (managed) hardware firewall appliance is zelfs nog vrij goedkoop.
Ok dat wist ik ook niet dat die prijzen zo hoog waren.
Ik hou me nu even afzijdig, ik ben ook maar aan het posten namens iemand anders.
Als het aan mij had gelegen dan had ik allang een aanklacht ingediend tegen die 15 jarige die de aanvallen opzet en veroorzaakt.
systemdeveloper
08/09/09, 16:43
Lol, alsof iedereen maar een cisco of juniper kan beheren, laat staan weet wat ie moet doen indien ie een ddos heeft hangen... 125 euro valt dan reuze mee idd.