Onderwerp: STRATO blokkeerd server en reageerd 4 dagen en langer niet

Heb een server bij Strato, dedicated M (strato.nl).
Mijn server zat achter een clouding netwerk, waardoor de server IP verborgen was.
Helaas door een 0-day exploit in qwebirc kwam mijn IP aan het licht (er was aan de hackers kant behoorlijk wat werk nodig, te maken met HOST resolving en host prefixed dat het opgevangen wordt door een honeypot).
Nu werd mn server met 20mbit aangevallen (UDP packets vermoed ik) en strato automatisch blokkeerd dan je server.

Nu hebben ze zo'n geweldig SUPPORT DESK die telkens de melding maakt dat zij niks kunnen doen.
Moet bij de abuse team hierover hebben, maar juist die partij die in Duitsland ligt, reageerd niet.
Kortom, mijn server is nu al 4 dagen offline en ik krijg niks los wat er gaat gebeuren of is gebeurd.
Ik raad nu maar en vermoed dat het om een UDP DDoS te maken had, alleen ik kan dus niks doen omdat mijn server niet toegankelijk is.

Nu heb ik een paar punten waar ik geen antwoord nog op heb:
1) De downtime is niet veroorzaakt door mij, maar door een andere partij (de DDoS'er). Nu wordt mijn service gedwarsboomd, bij wie ligt nu de reparatie: De klant of de partij die de service aanbiedt, in dit geval strato ?
2) Waarom kan geen enkele provider, in dit geval nu dus Strato, geen volledige UDP block zetten op de server IP, dit veroorzaakt onnodig vele malen andere traffic.
3) Waarom moet het 4 dagen en langer duren voordat Abuse team van Strato enigzins iets uitvoert, laat staan een "REPLY" geven op mijn email ?
4) Moet ik nu voor de downtime opdraaien kwa kosten ? Lijkt me niet toch ?

Kortom, er is nog steeds geen reet bekent wie nu voor wat verantwoordelijk is.
Misschien moet ik juridische informatie inwinnen ?

Mvg.

1) Vraag dit aan Strato, zolang je niet bij de server kan kun je een eventueel probleem ook niet oplossen.
2) Er zijn providers waar dit kan (eventueel een selectieve blokkade).
3) Dit kan enkel Strato beantwoorden, in welke taal is de vraag aan die afdeling opgesteld?
4) Dit zal in je overeenkomst staan lijkt mij, zo niet dan is dit niet geheel duidelijk. Welke kosten hebben we het precies over (mede gezien de prijs van slechts 49 euro/maand)?

1) Vraag dit aan Strato, zolang je niet bij de server kan kun je een eventueel probleem ook niet oplossen.

Dat weet de support desk dus niet, want alleen de Abuse department weet dit.
En die reageerd dus niet.

2) Er zijn providers waar dit kan (eventueel een selectieve blokkade).

Geef eens een paar providers dan.
Ik heb tot nu toe gewerkt met:
- Leaseweb
- FXW.nl
- Strato.nl
- Server4You.de

Geen van bovenstaande wilt enigzins een UDP blokkade neerzetten voor dedicated server(s) of VPS's.

3) Dit kan enkel Strato beantwoorden, in welke taal is de vraag aan die afdeling opgesteld?

In Engels.
De Abuse team zit in Duitsland, dus dat is dan Duits of Engels, zoals de Support Desk dit meld.
Ook heb ik CC'tje naar de Support gestuurd, en die blijft stee-vast antwoorden met:

Code:

Zoals eerder geschreven kunnen wij uit het customersupport helaas niets doen. Ook hebben wij geen inzicht op de status van deze kwestie.

De emails die betrekking hebben tot de blokkering en uw vragen zou u aan ABUSE moeten sturen. Stuurt u alstublieft de emails naar abuse-server@strato.de

Van abuse team heb ik alleen de eerste melding gekregen dat mijn server geblokkeerd is vanwege een DDoS, en verder noppes, nada.

4) Dit zal in je overeenkomst staan lijkt mij, zo niet dan is dit niet geheel duidelijk. Welke kosten hebben we het precies over (mede gezien de prijs van slechts 49 euro/maand)?

Ik kan enkel dit vinden:

Code:

6.7 Wanneer de cliënt via zijn dedicated of virtuele server de veiligheid, integriteit of beschikbaarheid van netwerken, servers, software of data – met name bij schending van artikel 4.7 – in gevaar brengt, of wanneer STRATO op grond van objectieve aanwijzingen een dergelijke verdenking heeft, kan STRATO de server tijdelijk blokkeren. Nadrukkelijk wordt gesteld, dat deze bepaling ook geldt voor de zogeheten Denial of Service attacks (hierna te noemen: DoS-attacks) die de klant via zijn server uitvoert. Bij een opzettelijke handeling van de cliënt kan STRATO deze overeenkomst met onmiddellijke ingang beëindigen.

6.8 Wanneer een dedicated of virtuele server de veiligheid, integriteit of beschikbaarheid van netwerken, servers, software of data, zonder dat dit aan de cliënt is te wijten, of wanneer STRATO op grond van objectieve aanwijzingen een dergelijke verdenking heeft, kan STRATO de server tijdelijk blokkeren. Nadrukkelijk wordt gesteld, dat deze bepaling ook geldt voor DoS-attacks, waarvoor de server van de cliënt door derden wordt gebruikt. STRATO wijst erop, dat het vaak aan de handelwijze van de cliënt tegenover derden te wijten is, dat hij het doelwit van een DoS-attack wordt. Wanneer een server herhaaldelijk het doelwit van DoS-attacks wordt en wanneer een herhaling valt te verwachten, kan STRATO deze overeenkomst na een waarschuwing met onmiddellijke ingang beëindigen, wanneer STRATO geen in redelijkheid van haar te vergen mogelijkheid heeft, om de te verwachten toekomstige DoS-attacks of hun effect op andere systemen te verhinderen.

6.9 De vergoedingsaanspraak van STRATO blijft bestaan, zolang om voornoemde redenen een blokkering van een dienst wordt uitgevoerd.

Ik snap er geen ruk van, want in de Nederlandse wet lijkt mij, als ze geen dienst aanbieden, dat in principe het product niet volledig betaalt hoeft te worden, lijkt mij ?
Ze hebben al 4 dagen vanaf dit moment nog geen actie ondernomen, want de DDoS zou (na horen en zeggen van andere mensen die wellicht contact hebben met de aanvaller) al lang gestopt zijn.
Gezien de BW meter geeft het ook aan dat het maar 20mbit was, en niet zozeer veel meer, dus het lijkt ook sterk op een SYN en UDP aanval.

Maar ja, het is gissen naar wat er gebeurd is.

2) Hiervoor adviseer ik een aanvraag te plaatsen in het daarvoor bestemde gedeelte van dit forum (om een offerte te vragen). De provider waarvan ik weet dat het onder voorwaarden kan mag ik hier niet noemen.

Het tijdelijk uitzetten van de server is natuurlijk prima, staat ook gewoon in de voorwaarden. Overigens is het algemeen bekend dat IRCdaemons DoS-magneten zijn, dus dit viel vroeg of laat wel te verwachten. Dat ze de server nu niet weer online hebben gezet kan natuurlijk diverse redenen hebben waar wij niet over kunnen oordelen. Al eens geprobeerd te bellen? dat helpt vaak veel beter dan mailen.

Ik weet niet of dit relevant is of niet maar ik geef het toch even aan...

Ik weet nog uit persoonlijke ervarning dat STRATO het 2 jaar geleden verbood om IRC diensten aan te bieden binnen hun netwerk. Het feit dat je server nu 4 dagen offline is zou mij eigen heel logisch klinken indien die regel er nog is.

Wij werden na 2 dagen geinformeerd over dit verbod, het verbod was op iets uit de Duitse wet gebasseerd.

Oorspronkelijk geplaatst door WickedWay

Ik weet niet of dit relevant is of niet maar ik geef het toch even aan...

Ik weet nog uit persoonlijke ervarning dat STRATO het 2 jaar geleden verbood om IRC diensten aan te bieden binnen hun netwerk. Het feit dat je server nu 4 dagen offline is zou mij eigen heel logisch klinken indien die regel er nog is.

Wij werden na 2 dagen geinformeerd over dit verbod, het verbod was op iets uit de Duitse wet gebasseerd.

1.1 Eine Nutzung der Server zur Bereitstellung folgender Dienste ist ausgeschlossen:

IRC (Internet Relay Chat), z.B. IRC Server, Bots, Bouncer

Dat klopt inderdaad. Maar het lijkt me wel een heikel punt dat het niet in de Nederlandse AV voorkomt.

Waarom gaan jullie er vanuit dat de TS een irc server draait, het is toch niet omdat iemand een ajax based irc client op zijn server/website heeft staan dat hij daarom ook een ircd heeft draaien.

Nope, maar er staat dat je geen IRC diensten mag aanbieden, wat een Ajax based IRC client toch echt is, en daarnaast staat dan dat je geen IRC server mag gebruiken. Het feit dat ze onderscheid maken tussen IRC en IRC server betekend gewoon dat niks met IRC mag.

De IRC web client zal onder "bouncer" vallen. In ieder geval gewoon niet slim om zoiets tegen de richtlijnen/gebruikersovereenkomst te doen. Maar zelfs dan kan ik me niet voorstellen dat je 'zomaar' de DDoS aanval voor je kiezen hebt gekregen. Het klinkt mij in de oren als typisch geval van eigen schuld dikke... In ieder geval. Zoek als je hier verder nog iets mee wilt doen een nieuwe host die wel IRC hosting toestaat, de prijs zal wat hoger liggen vanwege het extra risico op DDoS.

Als jij een managed firewall afneemt willen ze daar vast wel udp in blokkeren, moet je natuurlijk nog wel steeds voor het verkeer betalen.

Wie er verantwoordelijk is? Lijkt me duidelijk, jij huurt een server, die server veroorzaakt een dos attack waar in principe alle klanten last van zouden kunnen hebben, volgens de voorwaarden die jij geaccepteerd hebt wordt de dienst tijdelijk geblokkeerd. Dat ze dan niet 1-2-3 staan te springen om je server weer te activeren is logisch. Er staat ook geen tijdslimiet genoemd in de voorwaarden die jij geaccepteerd hebt.

toch altijd weer die kleine lettertjes...

Zoals ik al gezegd heb "Maar het lijkt me wel een heikel punt dat het niet in de Nederlandse AV voorkomt.". Ik neem aan dat de TS de NL voorwaarden heeft geaccepteerd en niet de Duitse.

1) IRC Dienst draaide erop, onder IPv6 alleen. qwebIRC is een client die webbased is, en connect naar localhost, dit zou geen problemen moeten leveren.
Voor de info, het is Strato.nl waar ik mee akkoord ben gegaan, daar hebben ze niks over IRC in staan, dus de Duitse A/V valt hier niet onder, zover ik gelezen heb.

2) gjtje, ik neem een server af ja, maar als er een onnodige DDoS op de server komt, waar ik niet voor verantwoordelijk ben, want een DDoS is inkomende data wat niet gewenst is, lijkt mij duidelijk dat ik daar niet voor verantwoordelijk ben. Als mijn server een DoS uitvoerde met uitgaande traffic, dan is de verantwoordelijkheid bij de admin, ik dan in dit geval.
Misschien moet je eens beter nadenken voordat je stellingen neemt.
Het is als het volgende: Iemand rijdt jouw aan, moet jij dan dokken ? Nee, want je bent aangereden. Rijdt jij iemand aan ? Ja, dan mag jij dokken.
Zo lijkt mij het ook hoe het op internet service providing ligt.
Leg mij dan eens uit waarom het niet zo is, want inkomende traffic komt van buitenaf, van sources die ik niet op mijn server wil.

Wat als jij wilt dat iemand tegen je aanrijdt? Met andere woorden, wat als jij content hebt staan op je irc server welke aandacht trekken (in de negatieve zin)?

Dan ben jij zeker verantwoordelijk hier voor in mijn ogen en is je afsluiting niet voor niks. Daarnaast word er overlast bezorgd door jouw omgeving, je kan beter 1 klant afsluiten dan dat je 10 klanten continue aan de telefoon hebt hangen dat de performance slecht is (de source afsluiten).

Het lijkt dan wat ik tot nu toe kan lezen dat het een doel gerichte aanval is op jouw irc server, trek zelf een conclusie zou ik zeggen. Het is wel heel gemakkelijk om meteen te wijzen naar de hoster, die heeft naar mijn mening correct gehandeld.