Onderwerp: Anti ddos beveiliging voor debian?

Oorspronkelijk geplaatst door Herbert

Het is niet mijn server en netwerk gelukkig...

Ben ik ook blij mee

vrgr. Eef

Zal best Eef.
Je bent de enigste geloof ik die gelezen heeft dat het niet mijn spul is.
-
Nu graag weer ontopic..

Bij een DDOS gewoon de netwerkprovider bellen die de boel laten nullrouten. Even uitzingen, zo'n DDOS stopt vanzelf wel een keer.

Niet dat het technisch wat bijdraagt, maar 'ervaring' leert dat ze snel genoeg verveeld raken.

'ervaring'? Welke 'ervaring' refereer je dan naar? Idem voor nullrouten... Als het zo simpel was...

1. Nullrouting is een final resort. Het haalt je dienst onderuit, en dat is net wat ze willen bereiken (en nu moeten ze er geen moeite voor doen). Wat wel handig is is target nullrouting zoals ik het noem. Echter, dan heb je bijstand van je upstreams nodig, en die zien liever cash dan moeite (en zij moeten dan overigens zelf de kosten dragen van de DDoS). Nullrouting als het wondermiddel rondbazuinen... No no.
2. DDoS verveelt niet altijd. Al vele jaren draai ik IRC related applicaties. Geregeld trekt dat eens 10+ gbit binnen. Wordt allemaal lekker gefiltert, alhoewel lekker... De bill stijgt, het valt vaak voor op momenten dat je nou net druk bezig bent om eens te gluren en (jawel) zonder de nodige actie gaat het aardig door bij momenten. Stoppen? No no.

Ik zal het er op houden dat ik iets semi-ddos-magnet heb draaien waar wel'ns wat mensen pissed off raken. Valt dan meestal weinig tegen te doen, begin maar eens een 30k botnet tegen te houden dat random pagina's op een forum begint te laden. Als die er allemaal 1 om de 30 seconden afhalen zit je nog op 1000 hits per seconde wat die server niet trekt, zeker niet als dat bijv. searches zijn. Kan je weinig tegen beginnen dan wachten, ik alleszins dan toch. Kan zijn dat er wel wat tegen te doen is zonder gewone gebruikers te hinderen, maar daar heb ik onvoldoende kennis voor.
Meestal stoppen die wel na een paar uur, dag, soms 2, veel langer nog niet gehad.

Die botnets worden her en der aangeboden voor een paar honderd dollar, lang moet je echt niet zoeken.

Volgens de msn chat had hij 2000 bots.
De prijs voor deze is 400,- Euro maar hij maakte de bots zelf.
De chat berichtgeschiedenis heb ik in handen gekregen via via..
-
Hieronder een screenshot

Dure kerel om daar €400 voor te vragen. (niet verkeerd interpreteren)

IndoIRC perikelen ?

Herbert, die gast is een kleine garnaal En bovendien een opschepper eerste klas Ik herken het script dat die gebruikt al :P Easy te counteren... Zeker als het een UDP flood is

Ok... maar hoe hou je zo'n kleine garnaal tegen?

Filters op edge van u netwerk. Zoals hij DDoS'd gaat het vnl om bandbreedte. bandbreedte vullende DDoS is veruit het makkelijkst af te houden. grote hoeveelheden kleine packets, gericht naar u core services (bvb u bgpd, dns, ...) zijn vaak het lastigste om tegen te gaan. Met goeie Juniper gear kom je bvb al een eind.

Zoals Herbert al zegt heeft hij geen (of weinig) invloed op het netwerk, alleen de achterliggende server. Herbert, kun je niet rate-limitten met behulp van iptables? Dan heb je de packets in ieder geval niet op je irc daemon.

Fantastisch idee. Kabeltje 100mbit. 100mbit zit vol, dus laten we rate limiten op de ircd, dan is alle packetloss totaal in rook opgegaan en is alles opgelost...
Ik zei net dat hij het op de edge van het netwerk moet laten regelen, omdat je anders echt niks kunt uithalen. En dat zei ik ook omdat hij al aangaf dat het geen IRCd is, wat het nog allemaal pak moeilijker maakt.

Bedankt voor de tips en antwoorden zover.
We gaan nu eerst verdere maatregelen nemen..