Onderwerp: Synflood attacks

Ik zie zo nu en dan SYN_RECV connecties staan via netstat. Na wat googlen kwam ik erachter dat dit waarschijnlijk synflood attacks zijn. Kan ik er vanuit gaan dat dit altijd zo is.

Nu had ik het idee om dit via een cron iedere minuut te checken, maar dit is natuurlijk een beetje achter de feiten aanlopen. Heeft iemand een betere oplossing om dit te voorkomen?

De volgende zaken heb ik al nagelopen:

/proc/sys/net/ipv4/tcp_syncookies
/etc/sysctl.conf

Lijkt mij alleen wanneer je onwijs veel van deze entries hebt, je ook echt een synflood attack hebt.
Wat je ziet is de status van een tcp connectie, waar volgens mij niets vreemds aan is.

Dit is naar poort 80 denk ik? Wanneer je een DDoS krijgt (dus vanaf HEEL VEEL IP's) is er op een Linux machine eigenlijk weinig aan te doen. Apache zal voor elke connectie een child spawnen en wachten, wachten, wachten...

Op BSD heb je de mogelijkheid om in Apache gebruikt te maken van het AcceptFilter, daarmee laat je niet-HTTP connecties buiten je Apache.

Je kan ook nog spelen met:

/proc/sys/net/ipv4/tcp_syn_retries
/proc/sys/net/ipv4/tcp_synack_retries

Maar naar mijn ervaring houdt het met een SYN Flood attack op een Linux machine vaak snel op, je kan er dan beter een firewall voor draaien in SYN Proxy (zoals bijv een BSD machine).

Deze regel geeft nogal regelmatig ip's terug:

netstat -n -p | grep SYN_RECV | awk '{print $5}' | sort -u | awk -F: '{print "ipdrop "$1 " on"}'

Maar dat zijn dus niet altijd synflood attacks?

Als hij op SYN_RECV staat is dat niet per definitie een SYN Flood attack, kan ook gewoon een client met een rotte internet verbinding zijn.

Pas als je in je server-status van Apache veel regels op ...reading... ziet staan heb je een probleem.

Ik kom op internet veel tegen over mod_security. Is dit te gebruiken i.c.m DirectAdmin, want die mod kan ook teveel tegenhouden schijnbaar.

Nee, mod_security zal je hier niet tegen helpen. Die module draait IN Apache en dan is het al te laat.

SYN Flood aanvallen moet je op kernel / firewall niveau al opvangen, niet in je applicatie / service.

Oorspronkelijk geplaatst door Boyke

Ik kom op internet veel tegen over mod_security. Is dit te gebruiken i.c.m DirectAdmin, want die mod kan ook teveel tegenhouden schijnbaar.

Als je het dan toch met software op wilt lossen dan kan ik je CSF+LFD aanraden, draait als daemon en indien hij goed geconfigureerd is kan het je een hoop ellende schelen.

Voxio heeft gelijk
Ik heb onlangs nog voor iemand een server onderhanden genomen die zwaar onder ddos / synflood attack zat.
Installeer CSF/LFD en zet deze op maximale protectie.
Vergeet niet de config file goed na te lopen van CSF en blokkeer desnoods complete landen waar de aanvallen van binnen komen.
Installeer ook mod_evasive, deze helpt ook tegen ddos
Je kan mod_evasive prima gebruiken naast CSF/LFD, je krijgt geen conflicten.