Onderwerp: Websites Telfort en Rijksoverheid offline door storing bij Prolocation - Update

Hmm nu ben ik wel benieuwd naar deze nieuwe techniek.

Nieuwe, onbekende DDoS-techniek legt Rijksoverheid plat
11 feb. 2015 door Andreas Udo de Haes (computerworld.nl)

De langdurige storing van Rijksoverheid.nl en andere sites is veroorzaakt door een nieuwe, enorme en innovatieve DDoS-aanval waartegen zelfs anti-DDoS diensten nog geen antwoord op hebben.

Geen kabelbreuk of andere verstoring, maar een gigantische DDoS-aanval legde dinsdag een groot deel van de dag Rijksoverheid.nl en andere sites plat. Het cybersecuritycentrum NCSC doet onderzoek samen met hoster Centric en infrastuctuurpartij Prolocation.

Details mogen in verband met het onderzoek nog niet worden gegeven, maar het gaat om een relatief nieuwe DDoS-techniek, meldt Raymond Dijkxhoorn, directeur van Prolocation aan Computerworld. "De aanval maakte gebruik van meerdere technieken en meerder lagen, waaronder een nieuwe methode. Vandaar dat het zo lang duurde voor we de aanval konden afslaan", vertelt hij. Zelfs partijen als Akamai en CloudFlare hadden grote moeite de tsunami aan verkeer te stelpen of om te leiden.

De aanval was duidelijk gericht op Rijksoverheid, de storing bij andere sites is 'collateral damage', aldus Dijkxhoorn. De aanval is nog niet geclaimd door een groepering.

Innovatieve aanval

Prolocation slaat op dagdagelijkse basis DDoS-aanvallen af, maar deze aanval was echt iets nieuws. Over de suggestie aan Prolocation om de anti-DDoS-diensten van de Nationale anti-DDoS Wasstraat (NaWas) te gebruiken is Dijkxhoorn kort: "Dat had geen zin gehad. Wij kunnen meer capaciteit inzetten dan het gehele NaWas-platform."

Prolocation wil graag met meer details naar buiten komen, maar is voorlopig de mond gesnoerd omdat het NCSC onderzoek doet. Die organisatie was niet direct bereikbaar voor commentaar, evenals Centric.

Welke nieuwe DDoS-techniek zou het kunnen zijn? Zonder details over deze aanval meldt Martin McKeay van Akamai uit Engeland dat recentelijk twee nieuwe technieken in opkomst zijn. De eerste is de zogenaamde Christmas Tree-aanval, de andere de Nonsense Name-aanval. Wordt vervolgd.

In 2011 en 2013 werd Rijksoverheid ook al flink getroffen door DDoS-aanvallen.

Computerworld.nl en ISPam nemen klakkeloos een vaag verhaal over 'nieuwe' DDoS aanvalstechniek over. Prolocation zegt zelf geen logs meer te hebben... erg geloofwaardig, not.

Ook hier weer;

Zelfs partijen als Akamai en CloudFlare hadden grote moeite de tsunami aan verkeer te stelpen of om te leiden.

maar:

De aanval had het karakter van een DDOS, zonder dat het heel veel verkeer genereerde

Bron: http://www.prolocation.net/status/

Er lijkt weinig van dit verhaal te kloppen..

Volgens mij had Cloudflare helemaal geen issues gisteren. Geenstijl bleef juist gewoon 'online' dankzij Cloudflare (oude versie van site)
https://downdetector.com/status/cloudflare

Oorspronkelijk geplaatst door CharlieRoot

Ook hier weer;

maar:


Bron: http://www.prolocation.net/status/

Er lijkt weinig van dit verhaal te kloppen..

Volgens mij maakt computerworld er gewoon een telegraaf versie van.

Dat van die dumps vind ik wel vrij vreemd, maar niet onmogelijk als men gewoon extreem laat er pas achter gekomen is waar het probleem zat (waar het op lijkt). Kan zijn dat ze na constatering het binnen enkele minuten opgelost hadden en daarna klanten zijn gaan bellen of iets dergelijks Toch zou je verwachten dat er al lang dumps zijn gemaakt voor analyse.

Oorspronkelijk geplaatst door borisboef

Volgens mij had Cloudflare helemaal geen issues gisteren. Geenstijl bleef juist gewoon 'online' dankzij Cloudflare (oude versie van site)
https://downdetector.com/status/cloudflare

Volgens mij was die 'oude' site gewoon een redirect naar Tumblr.

Oorspronkelijk geplaatst door Domenico

Volgens mij was die 'oude' site gewoon een redirect naar Tumblr.

Nee, eerst heeft een aantal uur een "AlwaysOnline" kopie van Geenstijl gedraaid, was een versie van zondag o.i.d. Pas enkele uren later hebben ze de verwijzing naar Tumblr gemaakt. Weet niet of dat alsnog via CF liep, maar in ieder geval is er altijd 'iets' te zien geweest (al was het maar een CF melding)
Dat CF problemen had is dus gewoon lariekoek.

Oorspronkelijk geplaatst door borisboef

Nee, eerst heeft een aantal uur een "AlwaysOnline" kopie van Geenstijl gedraaid, was een versie van zondag o.i.d. Pas enkele uren later hebben ze de verwijzing naar Tumblr gemaakt. Weet niet of dat alsnog via CF liep, maar in ieder geval is er altijd 'iets' te zien geweest (al was het maar een CF melding)
Dat CF problemen had is dus gewoon lariekoek.

Dat blijkt wel uit de inconsistente reacties vanuit Prolocated. Daarnaast vraag ik me af hoe het kan dat - als het een DDOS was gericht op de Rijksoverheid.nl - er met zo weinig dataverkeer (zie statement) toch downtime is veroorzaakt voor andere servers. Waarop liep het dan stuk? En waarom lag, met zo weinig bandbreedte, dan het hele netwerk plat maar niet de uplinks of routers?

Oorspronkelijk geplaatst door CharlieRoot

Dat blijkt wel uit de inconsistente reacties vanuit Prolocated. Daarnaast vraag ik me af hoe het kan dat - als het een DDOS was gericht op de Rijksoverheid.nl - er met zo weinig dataverkeer (zie statement) toch downtime is veroorzaakt voor andere servers. Waarop liep het dan stuk? En waarom lag, met zo weinig bandbreedte, dan het hele netwerk plat maar niet de uplinks of routers?

De routers kunnen best plat gaan met weinig verkeer. In geupdate stuk op computerwold hebben ze het over Christmas Tree packets. Kan helemaal niks met deze aanval te maken hebben, maar dit is wel het type aanval wat een hele hoge load op netwerk apparatuur kan geven waardoor bijvoorbeeld BGP sessies droppen. Dit zag je gisteren een hoop gebeuren (al kan dit debugging zijn geweest). Allemaal speculatie totdat ze gewoon gaan vertellen wat er aan de hand was. Dan kan de rest van de wereld ook maatregelen nemen als het echt zo innovatief was.

Als het waar is dat dit een "nieuwe" manier van DDoS is dan snap ik een aantal zaken niet:

- Waarom Rijksoverheid.nl
- Waarom niet veel meer gebieden

Als het zo is dat de experts het nakijken hebben en nieuwe strategieën moeten bedenken dan zitten er slimme jongens achter en dan zou Rijksoverheid.nl niet het eerste zijn dan ze te binnen zou schieten.

Misschien een tweede test-run van hun kunnen? In opmaat naar nog veel meer van dit alles?

Ik wil me er verder niet echt mee bemoeien maar om nou te stellen dat Akamai moeite heeft met ddos aanvallen moet hun state of the internet publicaties maar eens lezen. Die zijn echt wel wat gewend hoor.

Beetje jammer om andere partijen de schuld toe te schuiven om je eigen incompetentie te verbergen

Tja Ik denk dat als het niet waar is we toch wel een reactie van Cloudflae en/of Akamai mogen verwachten?

Maar zonder gekkigheid... een christmas tree attack of iets dat op dezelfde manier werkt, is toch redelijk eenvoudig te detecteren? Die packets worden door bv. nmap ook gebruikt voor fingerprinting en is verder weinig hocus pocus aan. Los van het feit of je wel of niet een basic intrusion detection systeem hebt om dat tegen te houden, zou je toch redelijk snel moeten kunnen zien of het dat wel of niet was.

Ben toch benieuwd of het niet een mega blunder van iemand is geweest...
Van een echte nieuwe ddos zou vast wel wat meer info naar buiten komen, zeker als ie toch al in het wild gebruikt wordt, lijkt me...

Oorspronkelijk geplaatst door systemdeveloper

Maar zonder gekkigheid... een christmas tree attack of iets dat op dezelfde manier werkt, is toch redelijk eenvoudig te detecteren? Die packets worden door bv. nmap ook gebruikt voor fingerprinting en is verder weinig hocus pocus aan. Los van het feit of je wel of niet een basic intrusion detection systeem hebt om dat tegen te houden, zou je toch redelijk snel moeten kunnen zien of het dat wel of niet was.

Wat zou je gebruiken , om 1MPPS aan probleem te herkennen uit overig verkeer op een serie 10G bundels ?

(bijvoorbeeld - ik weet niet specifiek of dat het probleem was. Wel heb ik het sterke vermoeden dat de term 'weinig verkeer' relatief is en alleen zegt 'de link zat er niet overvol mee' ).

Oorspronkelijk geplaatst door visser

Wat zou je gebruiken , om 1MPPS aan probleem te herkennen uit overig verkeer op een serie 10G bundels ?

(bijvoorbeeld - ik weet niet specifiek of dat het probleem was. Wel heb ik het sterke vermoeden dat de term 'weinig verkeer' relatief is en alleen zegt 'de link zat er niet overvol mee' ).

Nou ja, ik heb geen idee hoe het daar ingericht is, dus ik kan van alles roepen. Maar ze hebben het er zelf over dat ze meer capaciteit hebben dan de wasstraat. Als je de tent toch plat hebt kun je wel veel kanten op natuurlijk. Zelfs al bekijk je maar 1% van wat binnenkomt, dan zul je daar alsnog een piek van de evil packets op tegenkomen.
Maar feit is dat 'iets vergelijkbaar met een xtree attack' neerkomt op een zooi non-rfc packets en dat zie je in de logs, 1 minuut voordat je router en je firewalls op hun bek gaan. Dus als je tent toch plat ligt... trek die 10g bundels eruit en kijk in je logs, of in de logs van het aftapmachientje van de overheid.