Onderwerp: DDoS aanval op TransIP

TransIP heeft zojuist bekend gemaakt dat er een zware DDoS aanval plaats vind op hun netwerk. Deze aanval starte op zondag 24 maart rond 12:00 Nederlandse tijd. Dit is niet de eerste aanval op het newerk, alleen deze aanval richt zich specifiek op de nameservers.

TransIP heeft bekend gemaakt de medewerkers dag en nacht bezig zullen blijven tot het netwerk stabiel is. Tevens heeft TransIP aangifte gedaan bij het Team High Tech Crime van het KLPD.

source: http://www.huiblaurens.nl/ddos-aanval-op-transip/

Informatie hierover vanuit TransIP staat op http://www.transnoc.nl/

Ik ben benieuwd met wie ze het aan de stok hebben..

@Huib: Wellicht moet je eerst even je Nederlands bijspijkeren voordat je "journalist" gaat spelen?

Gozer, kap eens met het spammen van je weblog.

De server op www.transnoc.nl doet er te lang over om te antwoorden.

Gaat lekker dus..

Oorspronkelijk geplaatst door Randy

Gozer, kap eens met het spammen van je weblog.

Het is toegestaan aangezien het onder hosting nieuws valt

Hij mag wel eens een spelling check gebruiken

Ok, laten we dan even on-topic proberen te reageren

Dit blijft natuurlijk gewoon een groot probleem, wat ik vaak nog erger vind is dat je betweters krijgt die zeggen "Zorg voor een goede firewall".

Ik heb al genoeg DDoS aanvallen gezien in de afgelopen 10 jaar en vaak is het maar verdomd lastig om (shared) diensten er goed tegen beschermd te krijgen.

Als je ineens 100Gbps op je dak krijgt kan je daar weinig tegen doen, dan gaat die firewall ook direct onderuit.

Komen er ineens 1Mpps richting je nameservers, dan gaan ook die het best lastig krijgen, vaak verslikt je NIC zich daar al in. Een loadbalancer heeft dan ook geen zin, die trekt dat ook niet.

Dan moet je gaan kijken naar loadbalancing met OSPF of zelfs Anycast om zoiets op te lossen, maarja, dat leg je ook niet zo maar eventjes aan.

Oorspronkelijk geplaatst door Randy

Gozer, kap eens met het spammen van je weblog.

Ik spam niet, ik vermeld nieuws zoals deze categorie bedoeld is. Daarnaast heb ik moderators geinformeerd voordat ik het deed en die hebben er geen problemen mee. Dus reageer dan gewoon inhoudelijk.

Oorspronkelijk geplaatst door Wido

Ok, laten we dan even on-topic proberen te reageren

Dit blijft natuurlijk gewoon een groot probleem, wat ik vaak nog erger vind is dat je betweters krijgt die zeggen "Zorg voor een goede firewall".

Ik heb al genoeg DDoS aanvallen gezien in de afgelopen 10 jaar en vaak is het maar verdomd lastig om (shared) diensten er goed tegen beschermd te krijgen.

Als je ineens 100Gbps op je dak krijgt kan je daar weinig tegen doen, dan gaat die firewall ook direct onderuit.

Komen er ineens 1Mpps richting je nameservers, dan gaan ook die het best lastig krijgen, vaak verslikt je NIC zich daar al in. Een loadbalancer heeft dan ook geen zin, die trekt dat ook niet.

Dan moet je gaan kijken naar loadbalancing met OSPF of zelfs Anycast om zoiets op te lossen, maarja, dat leg je ook niet zo maar eventjes aan.

Het is inderdaad een pijnpunt. Maar je hebt het hier over een specifieke DDoS aanval, je hebt ook nog aanvallen die niet alleen om het versturen van pakketjes gaan maar om servers simpelweg te overbelasten. DDoS is eigenlijk een te algemene term.

Vraag is dan hoe je dit wil aanpakken. Je kan op verschillende niveau's dit aanpakken en een firewall is één hiervan.

Jongens graag even ontopic blijven. Wat betreft de nieuwsposts hier van Huib gaan we even intern bespreken. Bedankt!

Oorspronkelijk geplaatst door Yourwebhoster

Het is inderdaad een pijnpunt. Maar je hebt het hier over een specifieke DDoS aanval, je hebt ook nog aanvallen die niet alleen om het versturen van pakketjes gaan maar om servers simpelweg te overbelasten. DDoS is eigenlijk een te algemene term.

Vraag is dan hoe je dit wil aanpakken. Je kan op verschillende niveau's dit aanpakken en een firewall is één hiervan.

In het geval van een DNS-server kan het ook prima zijn dat je dus gewoon 1 Mpps aan UDP requests stuurt voor allemaal random domeinnamen.

Hoe filter je dat weg? Want het is in principe gewoon legitiem verkeer, je krijgt alleen ineens 1Mpps binnen. Geen firewall die dat weg kan filteren. Zeker niet als het domeinen zijn die op jouw nameservers draaien en je dus ook gewoon antwoorden op moet geven.

Dan moet je gaan schalen in DNS servers om die antwoorden te kunnen geven:
- Hoe ga je loadbalancen?
- Toch nog iets weg filteren met ip(6)tables?
- Trekt je software zoals req/sec wel?

Maarja, als je 100Gbps je kant op krijgt is het ook verdomd lastig. Eventjes je IP-adres van je nameserver nullrouten zit er ook niet in, want dan kan je niet meer antwoorden op je legitieme aanvragen.

Als je ook nog eens een aanvaller hebt die op je NOC pagina mee leest heb je ook een probleem, want als je daar zegt "We zijn het IP-Adres aan het veranderen" schakelt hij zijn DDoS ook gewoon over.

Oorspronkelijk geplaatst door Wido

Als je ook nog eens een aanvaller hebt die op je NOC pagina mee leest heb je ook een probleem, want als je daar zegt "We zijn het IP-Adres aan het veranderen" schakelt hij zijn DDoS ook gewoon over.

Daarom moet je ook niet teveel info naar buiten brengen. Hoewel je klanten het minder zullen vinden dat je met weinig informatie naar buiten komt is het wel beter om de aanval af te kunnen slaan.

Oorspronkelijk geplaatst door Wido

Als je ook nog eens een aanvaller hebt die op je NOC pagina mee leest heb je ook een probleem, want als je daar zegt "We zijn het IP-Adres aan het veranderen" schakelt hij zijn DDoS ook gewoon over.

Beetje C&C server detecteert dat automatisch, hoeft de aanvaller niet voor mee te lezen.

Hoe je het ook wendt of keert; uiteindelijk is er geen enkele oplossing om DDoS aanvallen geheel te stoppen (tenzij de aanval tegen 1 specifieke site gericht is, maar niet wanneer het tegen een heel netwerk gericht is).

Wellicht zou het nuttig kunnen zijn om een wereldwijde database aan te leggen van IPs die zijn waargenomen tijdens aanvallen. Daar zitten dan uiteraard ook legitieme verbindingen tussen, maar dat zou te filteren moeten zijn door data van verschillende aanvallen met elkaar te vergelijken. Ten eerste zou je aan de hand daarvan geautomatiseerde abuse notificaties kunnen sturen naar providers. Ten tweede zou je aan de hand van de IP database (en het monitoren van hoe goed een provider ervoor zorgt dat problemen opgelost worden) je dan weer per netwerk (en per subnet) een risicotabel kunnen maken, en die uit je BGP tabel halen tijdens zo'n aanval. Je blokkeert dan natuurlijk ook tal van onschuldige bezoekers, maar dan ben je in ieder geval voor een deel van het internet bereikbaar. Daarnaast zou dit ook nog wel eens een goede motivator voor providers kunnen zijn om meer aandacht aan het afhandelen van abuse te besteden (je ziet m.i. bij nogal wat providers dat er weinig aandacht uit gaat naar het afhandelen van abuse, omdat ze er geen commercieel belang bij hebben).

Aan zo'n aanpak zullen vast ook haken en ogen zitten, maar je moet toch ergens beginnen..

Oorspronkelijk geplaatst door Yourwebhoster

Daarom moet je ook niet teveel info naar buiten brengen. Hoewel je klanten het minder zullen vinden dat je met weinig informatie naar buiten komt is het wel beter om de aanval af te kunnen slaan.

En wie zegt dat je die info publiek moet maken, je kunt het ook meedelen op een afgeschermde website die enkel voor klanten toegankelijk is of via e-mail. Er dan wel even vanuit gaande dat het niet één van je eigen klanten is die achter de aanval zit.

Nu zie ik regelmatig meldingen waar gewoon in staat "ddos op het netwerk, oorzaak wordt onderzocht en zal met gepaste methodes opgelost worden", met als vervolg bericht iets in de vorm van "Oorzaak gevonden en ip adressen genull route" of "Oorzaak gevonden en met gepaste methode opgelost". En uiteindelijk voor je normaal klanten is het meeste toch 80% chinees van de oplossingen die je in detail zet en zijn ze al blij met zo een soort berichten. Zolang ze maar weten dat je op de hoogte bent van het probleem en je het aan het op lossen bent.