Onderwerp: Ddos info etc

Ik zie regelmatig threads voorbijkomen die te maken hebben met klanten/systemen die hinder ondervinden van een Ddos.

Ik ben erg benieuwd naar de ervaringen hiermee en dan vooral als de Ddos over is. Dit is mijninsziens erg belangrijke kennis (vooral voor mensen die voor het eerst met een Ddos te maken krijgen)

bijvoorbeeld :

• hoe lang duurde de Ddos ongeveer
• is het overgewaaid of zijn er technische maatregelen genomen
• Is er iets aangedaan om het in het vervolg te 'voorkomen'
• hoe kijken de meeste klanten ernaar, lopen ze meteen weg of hebben ze wel respect voor de situatie
• zijn er juridische stappen ondernomen
• etc etc etc

een dDos houd je niet zo makkelijk tegen
de naam zegt het al distributed denial of service.

Dus aanvallen vanaf meerdere machines: computer/servers
wat je vaak kan doen is filteren per poort van aanval of per target waarheen het word aangevallen door middel van 0-routes in je routing

Hi,

DDOS is zo oldskool.
Ze zijn te voorkomen, laat geen mens op IRC vanaf je doos !
In 90% van de gevallen word het veroorzaakt door figuren die andere gebruikers de pis lauw maken.
Meestal zijn de mensen achter de "DDOS" aanval bijna niet te traceren, ze sturen je UDP packets van ge"dotslashed" dozen, waarschijnlijk niet van een server wat op hun eigen naam staat.

Een abuse mail sturen is wellicht het meest effectieve kunt doen.

Een abuse mail sturen is wellicht het meest effectieve kunt doen.
Met citaat reageren

Vaak ook gaat het niet om gehackte servers, maar gebruikers. Die kan je geen abuse mail sturen. Het gaat dan om programma's (bijv. spyware) die op de eindgebruikers pc komen en waarmee de maker dan een ddos aanval kan doen. Dus hij "installeerd" zijn spyware op 100.000 computers, en kan daarna met deze pc's een ddos uitvoeren.

En dan gaat het om 100.000 IP adressen.....

Oorspronkelijk geplaatst door mikeh

Hi,

DDOS is zo oldskool.
Ze zijn te voorkomen, laat geen mens op IRC vanaf je doos !
In 90% van de gevallen word het veroorzaakt door figuren die andere gebruikers de pis lauw maken.
Meestal zijn de mensen achter de "DDOS" aanval bijna niet te traceren, ze sturen je UDP packets van ge"dotslashed" dozen, waarschijnlijk niet van een server wat op hun eigen naam staat.

Een abuse mail sturen is wellicht het meest effectieve kunt doen.

@mikeh
Je reacties zijn vaak zinloos maar goed even korte uitleg voor je.

Waarschijnlijk heb jij het over een DoS gen geen dDoS.
waarbij een DOS een enkele gebruiker een aanval stuurt naar zijn doelwit.

Een dDoS zijn meerdere afzenders en vaak ook met meerdere doelwitten.
Zelfs als je alle afzenders zou filtereren creeer je een hoge cpu load
enige wat dan echt zou werken is load ballanced de aanval afvangen.

Wat je hier tegen kan doen is multi-setup routing
niet alles over 1 doos maar 1 router voor inkomend verkeer
1 voor uitgaand en 1 voor filtering bijvoorbeeld.

Tot nu toe geen last gehad van dDos aanvallen (2x knock on table).
Wel last gehad van de gevolgen maar niet direct dat we offline waren.

Q hoe lang duurde de Ddos ongeveer
A hangt van de doelwit of situatie af
brakke configs, backdoors, oude firmware


Q hoe kijken de meeste klanten ernaar, lopen ze meteen weg of hebben ze
wel respect voor de situatie
A Ik zou als klant zijnde blijven als er voorzorgsmaatregelen na het incident getroffen zijn.

Ik word hier zo moedeloos van als mensen steeds weer IRC op hun server de schuld geven van een DDoS op dezelfde server. Jij gaat er vanuit dat elke IRC server een broeinest is van figuren die om het minst of geringste de IRC server, en dus ook vaak de webserver, down proberen te brengen.

Laat ik je hierbij even uit die droom helpen. Ik draai al meer dan 9 jaar een IRC netwerk en heb tot nu toe 1 keer een stevige DDoS gehad waarbij het hele (IRC) netwerk een paar uur down was. De rest van het netwerk had er geen last van. En ja dat kwam inderdaad door een figuur die door ons van het netwerk was verwijderd. Ik vind persoonlijk 1 keer in 9 jaar tijd wel te overzien... er zijn websites, geen irc, die vaker getroffen worden vanwege bepaalde berichtgevingen op betreffende sites.

IRC faliciteert helaas wel in veel gevallen de DDoS netwerken. Een geinfecteerde PC maakt veelal verbinding naar een IRC netwerk, waarbij vervolgens de "botmaster" via IRC instructies aan die "bots" geeft. Die bots worden dan meestal niet gebruikt om IRC te DDoS-en, maar bepaalde websites. Ja, die botnets hebben wij ook vaak op het netwerk gehad, maar die hebben bij ons maar een kort leven.

Botmasters zetten tegenwoordig vaak zelf een IRC server op om op die manier ongestoord met hun netwerk te communiceren... het gebeurt dan dus niet langer via bonafide klanten die een IRC server opzetten.

Oorspronkelijk geplaatst door mikeh

Hi,

DDOS is zo oldskool.
Ze zijn te voorkomen, laat geen mens op IRC vanaf je doos !
In 90% van de gevallen word het veroorzaakt door figuren die andere gebruikers de pis lauw maken.
Meestal zijn de mensen achter de "DDOS" aanval bijna niet te traceren, ze sturen je UDP packets van ge"dotslashed" dozen, waarschijnlijk niet van een server wat op hun eigen naam staat.

Een abuse mail sturen is wellicht het meest effectieve kunt doen.

Harvey, begrijpend lezen blijft een vak. (nofi)

Adonis,
Het is voornamelijk afhankelijk van het netwerk en de channels waar de gebruiker in zit.
Zie op EFNet regelmatig mensen die DDOS ontvangen omdat ze een bepaalde nicknaam van iemand anders in gebruik hebben.
Ligt het dan aan de users die niet wetend die nickname in gebruik heeft of aan de kwaadwillendheid van de "drone runner" die graag die nick terug wilt?
Of gewoon random ddos omdat je in een kanaal zit wat door iemand anders gewenst is.
Maar al heb je gebruikers op IRC zitten die alleen op FreeNode zitten, dan hoef je je daar niet zo snel zorgen om te maken (freenode FTW !)

Maar dat terzijde,

Tot in hoeverre kunnen logs van tcpdump / etc.. juridisch tegen de "botmaster / drone runner" gebruikt worden ??

Bijv; je bent klant van xs4all/ziggo/whatever en 12 jarige zoon begint via IRC iemand te irriteren en die persoon kent toevallig Pietje met een "drone net". Je internt ligt dagen plat door de aanval, je hebt logs ervan, wat kun je doen, stap je naar de politie met de logs of kan een ISP er iets mee/aan doen ?

@Mikeh
Laat me raden jij bent die 12 jarige, zo doet je gedrag zich wel voor.

Politie, die mensen weten vaak niet eens wat een dDos is voor dit soort aangiftes ga je naar gespecialiseerde mensen van de KLPD , andere afdeling is weer een andere verhaal dus.

DDOS is zo oldskool.
Jij ook aan je reacties te zien ben je zeker nog minderjarig.
en moet je misschien eens terug komen om te snappen wat zich afspeelt bij een dDoS

Ze zijn te voorkomen, laat geen mens op IRC vanaf je doos !
Onzin wij hebben in ons netwerk geen enkele IRC doos of poorten voor connecten naar IRC


In 90% van de gevallen word het veroorzaakt door figuren die andere gebruikers de pis lauw maken.
Gasten zoals jij doen dat misschien het is zo een onzin om altijd te denken dat het om irc gaat omdat jij op kinderchat bij tmf zit hoeft echt niet iedereen jou te dDossen hoor

Meestal zijn de mensen achter de "DDOS" aanval bijna niet te traceren, ze sturen je UDP packets van ge"dotslashed" dozen, waarschijnlijk niet van een server wat op hun eigen naam staat.

Oh heb je weer wat geleerd uit een internet woordenboek ?

Een abuse mail sturen is wellicht het meest effectieve kunt doen.
Oh jij gaat 50.000 abusemailtjes sturen ?

Heren, op de man spelen is niet nodig.

Hier draai ik een IRC node van een redelijk groot IRC netwerk (meer dan 50k users tegelijk dagelijks op het netwerk) en geen last gehad van een ddos. Daarnaast draaien er voor zover mij bekend nog een paar kleinere IRC netwerken op VPS pakketten die klanten huren, ook nog nooit een ddos op gehad. Tot slot is mij ook bekend dat er een aantal bouncers draaien en dit heeft tot op heden ook nog geen problemen opgeleverd, inmiddels is besloten dat binnenkort kant en klare IRC servers (op basis van een VPS) aangeboden zullen worden aan klanten (op aanvraag).

EDIT: op verzoek wil ik wel wat openbare statistieken hier vermelden.

Beste Mark kan je die stats een laten zien dan ?

Dataverkeer statistieken:
http://stats.streamservice.nl/mrtg/freenode.html

Aantal gebruikers tegelijk online (indicatie, maximum klopt op het moment van schrijven niet bij allemaal):
http://freenode.net/history.shtml
http://searchirc.com/network/freenode
http://irc.netsplit.de/networks/deta...&submenu=years

Bedankt Mark17 Het wordt hoog tijd dat de naam IRC als oorzaak van DDoS eens gezuiverd wordt.

Het begint beter te worden inderdaad.
Een jaar of 4-5 geleden kwam dit vele malen vaker voor (met als oorzaak IRC) dan tegenwoordig.