Bekijk Volledige Versie : DDoS pps & bps
Hoi,
In verband met een ddos oplossing zijn we aan het kijken hoe krachtig een gemiddelde DDoS aanval is, en dan vooral
wanneer er gekeken wordt naar het aantal pps en bps. Om het gemiddelde te kunnen berekeken moet ik natuurlijk wel wat
data hebben. Dus hierbij de vraag wie van jullie nog statistieken van recente (< 1 jaar) ddos aanvallen heeft liggen en deze hier kan delen?
dreamhost_nl
19/02/13, 10:43
Ik denk niet dat je dat zo moet benaderen; m.i. is hier gewoon geen gemiddelde voor te bepalen.
Ik snap dat nooit alle aanvallen kunnen worden geblokkeerd, om verschillende redenen. Maar toch zou het handig zijn als ik wist hoeveel pps (bijvoorbeeld) de meeste aanvallen hebben. Als ik dan met een oplossing die bijvoorbeeld 500.000 pps kan tegenhouden 80% van de aanvallen stop is dat al mooi meegenomen.
Misschien heb je hier iets aan.
http://atlas.arbor.net/
Per land kun je ook de DOS data bekijken.
http://atlas.arbor.net/cc/NL
Vaak gaat je NIC danwel het kernel zich er in verslikken.
Ook loadbalancers gaan onderuit. Wij zagen een tijd terug nog een DDoS van 800k pps en daarvoor moesten we naar een Quad NIC gaan met LACP om het kernel het via 4 aparte NIC's af te laten handelen.
Een 10Gbit NIC had het ook niet getrokken, ook niet met de nieuwe polling methodes van het kernel.
Wat mooi werkt is via OSPF het verkeer balancen naar nodes, dan zit er ook geen loadbalancer tussen die zich kan verslikken. Zo balancen wij bijvoorbeeld onze primaire DNS server over meerdere nodes.
Wido, dat is zeker interessant en ga ik even goed naar kijken. We kijken overigens ook naar hardwarematige oplossingen (Riorey, Fortinet, etc.). Hoevaak komt er bij
jullie een ddos binnen? enkele malen per jaar? en zijn die meestal onder de 800k pps?
rensariens
20/02/13, 13:01
Wido, dat is zeker interessant en ga ik even goed naar kijken. We kijken overigens ook naar hardwarematige oplossingen (Riorey, Fortinet, etc.). Hoevaak komt er bij
jullie een ddos binnen? enkele malen per jaar? en zijn die meestal onder de 800k pps?
Zou toch zeker voor minimaal 1 M. pps bescherming gaan. Denk overigens dat het erg veel afhangt van het type klanten wat je heb. Mijn ervaring is dat risicogroepen regelmatig grote aanvallen krijgen, MKB af en toe < 1 M pps, grote zakelijke klanten zelden maar dan vaak geavanceerder en/of groot. Maar ik ben verre van specialist aangezien we ze niet zo heel vaak zien gelukkig :) Riorey hoor ik gemengde reacties over. Fortinet en Nsfocus hoor ik betere dingen over maar zijn ook wel wat duurder volgens mij.
Wido, dat is zeker interessant en ga ik even goed naar kijken. We kijken overigens ook naar hardwarematige oplossingen (Riorey, Fortinet, etc.). Hoevaak komt er bij
jullie een ddos binnen? enkele malen per jaar? en zijn die meestal onder de 800k pps?Wij zien ongeveer één keer per jaar een DDoS van rond de 1M packets binnen komen.
RioRey e.d. hebben we ook naar gekeken, maar ik vind het verschrikkelijk duur en het is een black box in je netwerk waar je geen controle over hebt.
Ook al die oplossingen hebben een maximum wat ze aan kunnen aan PPS en dan vraag ik me ook altijd af of ze op Moment Suprême het werkt echt aan kunnen.
Het ligt er aan waarvoor je een Anti-DDoS oplossing zoekt. Wij hebben gezien dat voor enkel HTTP het ook al goed werkt om Varnish voor Apache te zetten.
Schaal dan met een groot aantal Varnish machines (en balance bijv met OSPF) en je kan in principe heel wat aan.
Met DNS kan je ook nog gaan denken aan Anycast oplossingen, maar dat is niet zo makkelijk.
Routers en switches kunnen vaak de boel prima aan, maar het is je NIC die zich gaat verslikken of het kernel wat simpelweg niet snel genoeg TCP sockets kan openen.
Wat bij ons op een gegeven moment wel werkte was met iptables alle packets die de state NEW hadden en kleiner waren dan 64 bytes blokkeren. Vaak zijn DDoS'es namelijk gewoon een flood van mega kleine pakketjes.