[colo] impact van een DDoS aanval

[MediaServe]

Beste,

Ik was eens benieuwd naar de bijwerkingen van een DDoS aanval, wat gebeurd er met je netwerk, welke impact geeft het?

De netwerk configuratie is als volgt:
- Cisco 3524 XL netwerk switch
- 2x Gbps SX uplink (redundante trunk)
- Coloklant heeft een uplink van 100 Mbps
- Geen 95-percentile regeling

Als die klant een aanval krijgt waarbij een aantal dagen 100 Mbps wordt getrokken, in hoeverre hebben anderen daar last van? Betaald de klant altijd netjes voor het dataverkeer?

Ervaringen en opmerkingen worden gewaardeerd

[smurf]

Mmm zie je dat niet snel als je klant de Full 100 Mbit gebruikt? Is het dan niet jouw taak om de abnormale verhoging aan te kaarten en contact op te nemen met je klant?

[XS-24]

Je provider het ip laten nullrouten.

[MikeN]

Vergeet verder niet dat een DDoS aanval ook wel groter kan zijn dan 100 MBit. Dat die klant maar een 100 MBit uplink heeft trekt die aanval zich niet zoveel van aan.

[MediaServe]

Origineel geplaatst door smurf
Mmm zie je dat niet snel als je klant de Full 100 Mbit gebruikt? Is het dan niet jouw taak om de abnormale verhoging aan te kaarten en contact op te nemen met je klant?

Uiteraard, maar dat vroeg ik niet.

Origineel geplaatst door MikeN
Vergeet verder niet dat een DDoS aanval ook wel groter kan zijn dan 100 MBit. Dat die klant maar een 100 MBit uplink heeft trekt die aanval zich niet zoveel van aan.

Daar heb je gelijk aan!
Misschien iemand met ervaringen?

[froggie]

Ik hoop natuurlijk wel dat je begrijpt dat wanneer ik geddosd wordt en mijn provider is daarvan op de hoogte en deze de mogelijkheid heeft daar wat aan te doen, ik graag zou hebben dat er van hun kant actie ondernomen wordt. En wanneer blijkt dat de ddos van zoveel machines komt dat nullrouten niet mogelijk is dan moet desnoods de stekker maar uit mijn switch getrokken worden.
Het klinkt namelijk alsof je het maar gewoon wil laten gebeuren.

Origineel geplaatst door MediaServe
Betaald de klant altijd netjes voor het dataverkeer?

Wanneer ik mij netjes aan de algemene voorwaarden van het netwerk houdt en niet bewust een ddos uitlok (en je weet als klant vaak best wanneer je een ddos uitlokt), dan denk ik dat de kosten best gedeeld kunnen worden. Hoe die verdeling bepaald wordt, ligt er voor mij aan hoe de provider het hele geval afhandelt. Wanneer de provider mij tijdig waarschuwt (in het geval dat ik het niet zelf opmerk) en adequaat actie onderneemt (hetzij de source nullrouten, hetzij mij als klant offline gooien voor zolang als het duurt) dan ben ik waarschijnlijk best geneigd het dataverkeer te betalen tussen het begin van de aanval en het moment dat mijn host actie ondernomen heeft.
Maar wanneer mijn provider voor mijn gevoel laks handeld (door geen actie te ondernemen, of wat dan ook) en er geen harde voorwaarden zijn wat betreft ddos aanvallen dan stikt hij er maar in, dan zal ik alles doen om onder die rekening uit te komen. Daar heb ik tenslotte rechtsbijstand voor.

[XF-RICK]

Bij ons worden de kosten van een DDOS aanval niet doorberekend, tenzij de klant dit heeft lopen uitlokken.

DDOS aanval kan aardig lastig zijn, tijdje geleden een HP-2524 die onder vuur lag, webinterface en telnet was onbereikbaar, hij bleef gelukkig wel doorswitchen. Probeer dan maar eens na te gaan naar welke switchpoort het gaat. (+/- 250 Mbit).

[Tuinslak]

En hoe kijk je na of de klant "een (d)dos uitlokt" dan?
Is een IRCD draaien uitlokken? IRC staat toch zeer bekend om vaak geDDoSsed te worden? Al heb ik daar nog nooit iets van gemerkt...

Hoe ga je na wat een klant (onder welke username) post op een fora? Of ...

Bij mijn weten worden DDoSses nooit voor het plezier gedaan, maar is er altijd wel een reden?

[Zenda]

Origineel geplaatst door Tuinslak
Bij mijn weten worden DDoSses nooit voor het plezier gedaan, maar is er altijd wel een reden?

Toevallig ken ik iemand, die voor zijn plezier lan-party's DDoSSED met véél MBIT's (dacht iets van 5 GBIT). Maarja, dat terzijde.

Ik vraag me ook af wanneer jullie zeggen dat het uitgelokt is. Het lijkt mij voor de klant ontzettend simpel om het tegendeel te bewijzen.

[froggie]

Mja, ik weet dat uitlokken een beetje vaag gedefinieerd is. Maar wanneer je je in de kringen begeeft waarin zich mensen bewegen die die beschikking hebben over de middelen om een ddos uit te voeren dan zoek je naar mijn mening het gevaar op. Zover ik weet worden ddossen voor alsnog enkel uitgevoerd om persoonlijke redenen (overtuiging, wraak, weet ik het) tegenover het slachtoffer, dus heb je als slachtoffer zelf een hand in de aanval gehad.
Ik geef toe dat je als provider niets kunt bewijzen, maar als klant dien je hier ook een stukje eigen verantwoording in te dragen.

Maar ja, dit klinkt allemaal leuk uit de mond van een moraalridder, maar wat je hier daadwerkelijk in de praktijk aan hebt durf ik niet te zeggen

[XS-24]

We bieden nog geen colo aan,maar bij dedi berekenen we de ddos door tot linkup hem op ons of de klant zijn verzoel nullroute.

[MediaServe]

Bedankt voor de reacties zover
In principe moet de klant betalen voor al het dataverkeer dat hij genereert. Als hij bijvoorbeeld IRC diensten draait en een DDoS aanval krijgt, dan vind ik het eigenlijk onterecht dat ik daar als provider voor moet betalen.

Maar wat ik eigenlijk nog belangrijker vind, hoe houd het netwerk zich tijdens zo'n aanval? De switch die XF-RICK noemt, de HP 2524, die levert vrijwel gelijke performance als de Cisco 3524 XL. Is zo'n aanval van 250 Mbps een hele fikse aanval, of zijn er geregeld grotere aanvallen?

Capaciteit is het probleem dus niet, maar het gaat meer om de PPS die de switch te verwerken krijgt.

[MikeN]

Origineel geplaatst door MediaServe
In principe moet de klant betalen voor al het dataverkeer dat hij genereert.

Je zegt het zelf al: genereert. Een DDoS is inkomend dataverkeer, wat dus niet direct door de klant gegenereerd wordt.

[ProServe]

Origineel geplaatst door MikeN

Je zegt het zelf al: genereert. Een DDoS is inkomend dataverkeer, wat dus niet direct door de klant gegenereerd wordt.

Klopt, maar het ligt aan de ISP of ze het wel of niet doorberekenen. Als een klant van ons een DDoS krijgt van 100Mbit over transit, en we laten dit meer dan anderhalve dag gewoon draaien, gaan we toch echt een rekening van die transit boer krijgen.

Wij blackholen dan het destination IP (het IP van onze klant), waardoor de (D)DoS attack al in het netwerk van onze transit providers gestopt wordt. Vaak zien de kiddies dan al snel dat de aanval geen zin meer heeft, en stoppen ze.
Onze ervaring is dat zo goed als bijna elke DDoS attack uitgelokt is, door wat dan ook. Bewust of onbewust.

[MikeN]

Ik zeg ook niet dat er per definitie niet betaald hoeft te worden bij een DDoS aanval, maar probeerde alleen te laten zien dat het niet zo simpel is als "het is gegenereerd door de klant dus hij betaalt het".

Ik denk dat je er het beste heel duidelijke afspraken met je klanten over kan maken. Dus afspreken welke actie wordt ondernomen bij een aanval en welk deel van de verkeer wordt betaald door de klant. Dit gewoon in je contract opnemen en dan weet iedereen waar hij aan toe is.

Over het uitlokken van een DDoS aanval: het is hoe ruim je de definitie van uitlokken stelt. Veel aanvallen kun je sowieso direct aan de klant toeschrijven. Als een klant zelf ruzie krijgt met de verkeerde personen heeft hij het toch echt zelf veroorzaakt. Het draaien van bijvoorbeeld een IRC server is al minder makkelijk te zien als uitlokken. Aan de ene kant is het natuurlijk een risico wat je bewust neemt, aan de andere kant kun jij er ook niet zo heel veel aan doen als in een uurtje dat jij weg bent wat mensen ruzie krijgen op jouw server en daarom maar besluiten doodleuk de server plat te gooien (ik spreek helaas uit ervaring).

Maar uiteindelijk denk ik dat het allemaal neerkomt op afspraken maken met je klanten. Zowel over het voorkomen van DDoS aanvallen (door bv. het niet toestaan van IRC diensten), als over de afhandeling van eventuele DDoS aanvallen.

Over de switch die niet meer reageert: volgens de specs moet dat ding aardig wat pps kunnen hebben. Nou weet ik niet of die specs gehaald worden, maar het probleem zou ook wel eens veroorzaakt kunnen worden doordat er 250 MBit inkomend verkeer op de switch is en er maar 100 MBit uit kan, waardoor de buffers op de switch dus vol gaan lopen en hij zich daar wel eens in zou kunnen verslikken.