Ddos

Citaat:

---

Origineel geplaatst door ProServe
Moet zeggen dat wij nog nooit een grotere attack hebben gehad van over de paar honderduizend pps (*afklop*).
De enige manier om het snel te stoppen (dat is ook de manier die wij hanteren), is het blackholen van het target. Uiteindelijk heeft degene die de DDoS uitvoert dan wel z'n zin (het target is down), maar je als ISP blijft je netwerk wel normaal doordraaien (je transit providers blackholen dit traffic dan ook hun netwerk, en dan krijg je het dus niet meer binnen). Inmiddels zijn ze bij o.a. Juniper bezig met een manier van blackholen waarbij je ook kan aangeven welk type verkeer er geblackholed moet worden (tcp/udp/icmp etc, poort 25, 80 etc). Dat is natuurlijk een nog betere manier om DDoS verkeer te filteren.

---

Groot gelijk, enkel gaat dit ook wel weer resources kosten van je router(s).

Bij ons is de policy indien klant 1 een gevaar vormt voor de rest van de klanten zullen wij een gepaste oplossing zoeken om de DDOS af te wenden, in veel gevallen is dat een nullroute. Een lastig probleem is een DDOS op het netwerk in het algemeen, dan zul je dus opzoek moeten gaan naar de bron van het probleem en continue in contact blijven met je carriers.

Geloof me, een slopende situatie (geestelijk) :D

ondanks dat ik er niet mee te maken heb (nog niet iig)... hoe blackhole je een target?

Als ik zoiets zou meemaken.. is het uitschakelen van de aangevalle switch poort (=server met aangevallen ip adres) voldoende?

Citaat:

---

Origineel geplaatst door DutchTSE
ondanks dat ik er niet mee te maken heb (nog niet iig)... hoe blackhole je een target?

Als ik zoiets zou meemaken.. is het uitschakelen van de aangevalle switch poort (=server met aangevallen ip adres) voldoende?

---

Nee, hij gaat dan door je VLAN arpen, wil je ook niet hebben dan komt het weer terug op je subcores/cores.

Het beste is direct contact opnemen met je coloboer om het probleem aan te kaarten en wellicht op te lossen.

Citaat:

---

Origineel geplaatst door ProServe

maar zonder de nodige capaciteit aan uplinks en capabele NOC mensen, heb je daar weinig aan :)

---

mede daarom dat ik ook de NOC noemde :)

Citaat:

---

Origineel geplaatst door DutchTSE
ondanks dat ik er niet mee te maken heb (nog niet iig)... hoe blackhole je een target?

Als ik zoiets zou meemaken.. is het uitschakelen van de aangevalle switch poort (=server met aangevallen ip adres) voldoende?

---

interface null 0 is je vriend op de router.
Nadeel van blackholes bij grote DoS aanvallen:
- Zeer grotere belasting op de router.

Edit:

Citaat:

---

Origineel geplaatst door ProServe
Juniper bezig met een manier van blackholen waarbij je ook kan aangeven welk type verkeer er geblackholed moet worden (tcp/udp/icmp etc, poort 25, 80 etc). Dat is natuurlijk een nog betere manier om DDoS verkeer te filteren.

---

Je zou natuurlijk aan de hand van een QoS en ACL al een heel eind komen om het dport (destination port) verkeer te filteren.

Ik denk dat wat mensen nullroutes en blackholes doorelkaar halen.
Een nullroute doe je op je routers zelf, en een blackhole is een faciliteit van je transit partijen, waarbij je bijvoorbeeld 1 prefix naar een blackhole router (via een extra peering sessie, of via een community in je huidige sessie) stuurt.
Bij de laatste kost het je 0% processing power, aangezien de attack nooit je netwerk inkomt, omdat de transitpartijen dit afvangen.

Ook de nieuwe mogelijkheden qua blackholen op protocol en poort kost je helemaal niets aan processor capaciteit, aangezien ook daar je transit partijen het al uitfilteren. Trouwens, de meeste Junipers kunnen zonder problemen 40Mpps wire-speed filteren en routeren, dus knappe jongen als je daar over heen gaat :)

Citaat:

---

Origineel geplaatst door ProServe
Ik denk dat wat mensen nullroutes en blackholes doorelkaar halen.
Een nullroute doe je op je routers zelf, en een blackhole is een faciliteit van je transit partijen, waarbij je bijvoorbeeld 1 prefix naar een blackhole router (via een extra peering sessie, of via een community in je huidige sessie) stuurt.
Bij de laatste kost het je 0% processing power, aangezien de attack nooit je netwerk inkomt, omdat de transitpartijen dit afvangen.[/i]

---

Oops... ik zie inderdaad dat ik blackhole noem ipv null route (dit was wel wat ik bedoelde... scherp!)

Ik ben niet geheel scherp... (hoofdpijn)

Citaat:

---

Origineel geplaatst door ProServe

Ook de nieuwe mogelijkheden qua blackholen op protocol en poort kost je helemaal niets aan processor capaciteit, aangezien ook daar je transit partijen het al uitfilteren. Trouwens, de meeste Junipers kunnen zonder problemen 40Mpps wire-speed filteren en routeren, dus knappe jongen als je daar over heen gaat :)

---

Blackhole werkt inderdaad aan de ahv van communities.

Bedankt voor je opmerking Peter =] keeps me scherp...

Is er ook nog verschil in netwerk? Zijn er netwerken die meer last hebben van een DDOS dan andere?

Citaat:

---

Origineel geplaatst door noodles
Is er ook nog verschil in netwerk? Zijn er netwerken die meer last hebben van een DDOS dan andere?

---

Ja.
De goedkopere providers hebben vaak meer last van DDoS.

Maar indien je wenst wil ik je best helpen met een advies op maat (zoeken naar de beste provider).

Neem gerust per pb contact met me op.