Bekijk Volledige Versie : Hup bij DDoS aanvallen
Wij worden al meerdere dagen door DDoS aanvallen plat gelegd.
De aanvallen gaan over 2 servers die staan bij DigitalOcean en TransIP.
We kunnen niet vinden waar de aanvallen vandaan komen.
We zoeken dus iemand die hier veel ervaring in heeft en ons hierbij kan helpen om dit op te sporen.
Afgelopen donderdag zijn de aanvallen begonnen.
Dat gebeurde op een server die bij DigitalOcean staat.
Na aanhoudende aanvallen hebben we de server verhuisd naar TransIP.
Helaas zijn de aanvallen met ons mee verhuisd naar de nieuwe server.
Voor ongeveer de helft van de websites hebben we er inmiddels CloudFlare voor draaien, maar de aanvallen blijven aanhouden.
Per aanval wordt er ongeveer zo'n 100GB/s aan data verstuurd.
Rechtstreeks contact kan via 06-38323437.
Gr. Jurgen
Je hebt neem ik aan wel het CloudFlare pakket van $200 per maand (of meer)? Want anders heb je geen DDoS protectie inclusief. Ik kan je wel helpen met DDoS aanvallen, maar als het echt 100 Gbps is, dan zal je het toch door CF moeten laten blokkeren, want 100 Gbps gaat die 1 Gbps uplink bij DigitalOcean/TransIP natuurlijk nooit redden.
Ik denk echter niet dat het echt 100 Gbps is, want daarvoor heb je een enorm botnet nodig, en was heel DigitalOcean of TransIP gewoon down geweest.
Hi Jeroen,
Sorry je hebt gelijk. Het is 101.82 Mb/s.
We hebben bij CloudFlare de pro versie. Niet de business versie.
Op de server draaien zo'n 80 websites dus de business versie is onbetaalbaar voor zoveel websites.
Kijk! 101.82 Mbps is prima tegen te houden. CloudFlare zal dat echter niet doen zonder een Business account. Het hangt een beetje van het type aanval af of je dat lokaal (op de server) kunt tegenhouden of dat je toch een hoster moet zoeken die daar apparatuur voor heeft staan. Kan je nog wel inloggen op de server tijdens een aanval?
Via de console wel.
Momenteel zijn we weer online.
Dat gebeurd overigens iedere keer.
Er komt veel verkeer binnen. TransIP nul route het verkeer en na bijv. een uur wordt het verkeer weer goed gezet en zijn we weer online (nu dus).
Dan is het wachten tot de volgende aanval.
Hmm, ja, als je een nullroute krijgt heeft het ook geen zin de firewall op je server te tweaken. Dan zal je toch een hoster moeten zoeken met de juiste apparatuur of die niet al bij 100 Mbps gaat null-routen. Je kan natuurlijk ook kijken of je kunt uitvinden welke website wordt aangevallen en alleen die achter CloudFlare business zetten. Afhankelijk van het type aanval is dat heel makkelijk of heel lastig uit te vinden.
Indien gewenst kan je al het verkeer via ons laten lopen, waarbij wij als proxy functioneren. Al het verkeer zal dan gefilterd worden en DDoS aanvullen worden tegengehouden. Dit vereist wel een aantal tweaks en heeft naast de voordelen ook nadelen.
mgielissen
07/02/16, 13:38
Heb je al eens met tcpdump naar het ddos verkeer gekeken? Dit is trouwens ook een handige tool om je verkeer te analyseren: https://www.alienvault.com/products/ossim
@ Peter Bin: Kun je uitleggen wat de tweaks ongeveer inhouden / aan impact hebben? En wat zijn de kosten? Mag ook via een prive bericht. Is het een transparante proxy of komen dan alle requests via jouw IP?
mgielissen: Thnx voor de tips!! Ik ontvang zo van SF-Jeroen een commando om te TCP Dump te bekijken.
Ramon Fincken
08/02/16, 10:20
Ging het op server IP, klant IP en/of website url? Is bekend wie het target was/is?
Ik heb een privebericht gestuurd.