Onderwerp: Wat is dit nu?

Geachte klant,

Op dit moment is er een DDOS aanval op webserver 3
omdat deze aanval gericht is op een gedeelde server met een gedeeld
ipadres
is er helaas niet te achterhalen op welke website dit gericht is.
Om de rest van ons netwerk hier geen last van te laten ondervinden
hebben we moeten besloten het verkeer te bouncen
Dit houdt in dat op dit moment alle websites van dit ip
(xxx.xxx.xxx.xxx) onbereikbaar zijn.

Op ong 11.00 Uur zullen we kijken of we het ip weer kunnen openen.
================================================== ===========

Dit bericht kreeg ik binnen via email. Keurig dat ze dat via email
doen. Maar volgens mij is dit niet correct. Een groot aantal homepages
en email zijn hierdoor onbereikbaar. De goede moeten dus bij hen maar
onder de kwade lijden. Of is dit en grove nalatigheid van de provider?



--

www.happysite.nl
Mr. Happy.

Verwijder .invalide uit mijn emailadres

Mr. Happy wrote:
> Dit bericht kreeg ik binnen via email. Keurig dat ze dat via
> email doen. Maar volgens mij is dit niet correct. Een groot
> aantal homepages en email zijn hierdoor onbereikbaar. De goede
> moeten dus bij hen maar onder de kwade lijden. Of is dit en
> grove nalatigheid van de provider?


De houding 'we wachten tot de dos over is en alle klanten op die webserver
zijn gewoon offline tot die tijd', is niet erg professioneel imho.

Er zijn meerdere oplossingen:
- de dos gaan tegenhouden VOOR de webserver (ja dit kan)
- klanten op de betreffende server overzetten naar een andere server
- niet meer dan een x aantal klanten op 1 ip zetten
- ook op de webserver kun je verkeer gaan bouncen. Dit is iets waar ik een
tijdje geleden een script voor heb gemaakt. Als er vanaf 1 ip meer dan een x
aantal requests per minuut binnen komen, dan gaat die in de droplist. Op die
manier filter je binnen een uurtje de hele dos eruit.


--
Alain

spamsux.nl

Op Wed, 16 Jun 2004 11:14:36 +0200, "Alain" <Alain@spamsux.nl>
schreef:

>Mr. Happy wrote:
>> Dit bericht kreeg ik binnen via email. Keurig dat ze dat via
>> email doen. Maar volgens mij is dit niet correct. Een groot
>> aantal homepages en email zijn hierdoor onbereikbaar. De goede
>> moeten dus bij hen maar onder de kwade lijden. Of is dit en
>> grove nalatigheid van de provider?
>
>
>De houding 'we wachten tot de dos over is en alle klanten op die webserver
>zijn gewoon offline tot die tijd', is niet erg professioneel imho.
>
>Er zijn meerdere oplossingen:
>- de dos gaan tegenhouden VOOR de webserver (ja dit kan)
>- klanten op de betreffende server overzetten naar een andere server
>- niet meer dan een x aantal klanten op 1 ip zetten
>- ook op de webserver kun je verkeer gaan bouncen. Dit is iets waar ik een
>tijdje geleden een script voor heb gemaakt. Als er vanaf 1 ip meer dan een x
>aantal requests per minuut binnen komen, dan gaat die in de droplist. Op die
>manier filter je binnen een uurtje de hele dos eruit.

Mag ik hier uit opmaken dat ik bij een verkeerde provider zit die zijn
zaakjes niet in orde heeft? Drie websites die ik beheer lagen er meer
dan 3 uur uit. Ik vind dit ronduit knullig om dat 1 websitite werd
aangevallen.
--

www.happysite.nl
Mr. Happy.

Verwijder .invalide uit mijn emailadres

Mr. Happy wrote:
> Mag ik hier uit opmaken dat ik bij een verkeerde provider zit
> die zijn zaakjes niet in orde heeft? Drie websites die ik
> beheer lagen er meer dan 3 uur uit. Ik vind dit ronduit
> knullig om dat 1 websitite werd aangevallen.


3 uur is vrij weinig, vermoedelijk was het dan ook een korte dos-attack. Het
gebeurd ook wel eens dat een dos attack dagen of zelfs weken doorlopen. De
vraag is of je provider met zijn houding ook de boel dagen lang offline had
gelaten als de dos attack zolang was doorgegaan (aan je OP te lezen wel).

Maar 3 uur downtijd bij een dos attack heb je al snel, ook als een provider
actief bezig is de boel weer draaiende te krijgen. Er niks aan doen en
wachten tot 't over is, is wel uiterst knullig.


--
Alain

spamsux.nl

I've checked it, Alain really wrote this:

[DDoS attack Tik&Klik]

> - niet meer dan een x aantal klanten op 1 ip zetten

Hmm, maar dan blijven de klanten op server 'x' toch last hebben van het
down gaan van dat ding. Of het er nu 100 of 25 zijn.. Overigens heb ik
niet het idee dat er bij Tik&Klik (overigens niet de meest profi-toko IMO)
oneindig veel man op één (Cobalt-)server worden gezet. Wat moeten ze
anders met zoveel servers?

--
EP
Rockstars, is there anything they don't know? (Homer Simpson)
cp: Hoobastank - The Reason

EL PIÑO wrote:
> Hmm, maar dan blijven de klanten op server 'x' toch last
> hebben van het down gaan van dat ding. Of het er nu 100 of 25
> zijn..


Je kunt een ip loskoppelen van een server. Als je bijvoorbeeld maximaal 25
klanten op 1 ip zet, en je 200 klanten op een server zet, dan kun je bij een
dos-attack het betreffende ip loskoppelen. Gevolg is dat je in plaats van
200 klanten 'slechts' 25 klanten benadeeld. Wat wij ook doen is dos-attack
gevoelige sites is uit voorzorg al op een geheel eigen ip zetten. Voetbal
club-sites, politieke sites, gameserver-sites etc. Sites waarbij er vroeg of
laat toch wel een dos attack komt, motiveren wij dan ook om over te stappen
naar een geheel eigen server.

Beetje preventief te werk gaan kan geen kwaad imo.


> (overigens niet de meest profi-toko IMO)


Wist niet dat het over deze toko ging, maar deze toko staat al een paar jaar
in mijn blacklist ivm excessief spammen op fora's, usenet ea plekken onder
een valse naam, en het verspreiden van leugens over concullega's onder een
valse naam...


--
Alain

spamsux.nl

I've checked it, Alain really wrote this:

>> Hmm, maar dan blijven de klanten op server 'x' toch last
>> hebben van het down gaan van dat ding. Of het er nu 100 of 25
>> zijn..
>
> Je kunt een ip loskoppelen van een server. Als je bijvoorbeeld maximaal
> 25 klanten op 1 ip zet, en je 200 klanten op een server zet, dan kun je
> bij een dos-attack het betreffende ip loskoppelen. Gevolg is dat je in
> plaats van 200 klanten 'slechts' 25 klanten benadeeld. Wat wij ook doen
> is dos-attack gevoelige sites is uit voorzorg al op een geheel eigen ip
> zetten. Voetbal club-sites, politieke sites, gameserver-sites etc. Sites
> waarbij er vroeg of laat toch wel een dos attack komt, motiveren wij dan
> ook om over te stappen naar een geheel eigen server.

Aha, bedoelde je het zo. Dan had ik het verkeerd begrepen, ik dacht dat je
een max. aantal klanten per server bedoelde en één IP per server, maar je
kunt idd ook natuurlijk meerdere IP's per server en daar een bepaald
aantal klanten maximaal opzetten. Eigenlijk ook erg logisch als een hoster
dat zou doen trouwens.

> Beetje preventief te werk gaan kan geen kwaad imo.

Nee, maar dat geld overal voor op internet. Hoewel je het natuurlijk kan
overdrijven. :-)

>> (overigens niet de meest profi-toko IMO)
>
>
> Wist niet dat het over deze toko ging,

Mja, haalde het uit de website van OP en die stond toevallig ook op
server3, dus vandaar.

> maar deze toko staat al een paar
> jaar in mijn blacklist ivm excessief spammen op fora's, usenet ea
> plekken onder een valse naam, en het verspreiden van leugens over
> concullega's onder een valse naam...

Zo ken ik ze niet, maar wel via een kennis die er een paar sites (twee
meen ik) had lopen, mja lopen was veel gezegd meer down als up zeg maar.
Service is wel goed, totdat er iets fout gaat :-/.. Niet een hoster waar
ik voor mijn plezier naar toe zou gaan.

--
EP
Rockstars, is there anything they don't know? (Homer Simpson)
cp: [Opening] (01) Dido - White Flag.wma

Op Wed, 16 Jun 2004 13:51:17 +0200, "Alain" <Alain@spamsux.nl>
schreef:

>Mr. Happy wrote:
>> Mag ik hier uit opmaken dat ik bij een verkeerde provider zit
>> die zijn zaakjes niet in orde heeft? Drie websites die ik
>> beheer lagen er meer dan 3 uur uit. Ik vind dit ronduit
>> knullig om dat 1 websitite werd aangevallen.
>
>
>3 uur is vrij weinig, vermoedelijk was het dan ook een korte dos-attack. Het
>gebeurd ook wel eens dat een dos attack dagen of zelfs weken doorlopen. De
>vraag is of je provider met zijn houding ook de boel dagen lang offline had
>gelaten als de dos attack zolang was doorgegaan (aan je OP te lezen wel).
>
>Maar 3 uur downtijd bij een dos attack heb je al snel, ook als een provider
>actief bezig is de boel weer draaiende te krijgen. Er niks aan doen en
>wachten tot 't over is, is wel uiterst knullig.

Zoef....... dat zou me wat fraais wezen.
Ik krijg het idee dat deze ISP toch minder kundig is dan hij zich voor
doet. t (of niet bereid financieel te investeren) Het is lastig te
bepalen wie zijn zaakjes nu wel goed op orde heeft. Alle recalme
slogans zijn van het zelfde laken en pak. Beter, stabieler, 24 uur
backup enz...........



--

www.happysite.nl
Mr. Happy.

Verwijder .invalide uit mijn emailadres

Op Wed, 16 Jun 2004 14:16:07 +0200, "Alain" <Alain@spamsux.nl>
schreef:

>EL PIÑO wrote:
>> Hmm, maar dan blijven de klanten op server 'x' toch last
>> hebben van het down gaan van dat ding. Of het er nu 100 of 25
>> zijn..
>
>
>Je kunt een ip loskoppelen van een server. Als je bijvoorbeeld maximaal 25
>klanten op 1 ip zet, en je 200 klanten op een server zet, dan kun je bij een
>dos-attack het betreffende ip loskoppelen. Gevolg is dat je in plaats van
>200 klanten 'slechts' 25 klanten benadeeld. Wat wij ook doen is dos-attack
>gevoelige sites is uit voorzorg al op een geheel eigen ip zetten. Voetbal
>club-sites, politieke sites, gameserver-sites etc. Sites waarbij er vroeg of
>laat toch wel een dos attack komt, motiveren wij dan ook om over te stappen
>naar een geheel eigen server.
>
>Beetje preventief te werk gaan kan geen kwaad imo.
>
>
>> (overigens niet de meest profi-toko IMO)
>
>
>Wist niet dat het over deze toko ging, maar deze toko staat al een paar jaar
>in mijn blacklist ivm excessief spammen op fora's, usenet ea plekken onder
>een valse naam, en het verspreiden van leugens over concullega's onder een
>valse naam...


(slik) Dus heb ik toch een verkeerde keuze gemaakt.
Wat denk je van Alpha Mega Hosting ?


--

www.happysite.nl
Mr. Happy.

Verwijder .invalide uit mijn emailadres

Mr. Happy wrote:
> (slik) Dus heb ik toch een verkeerde keuze gemaakt.
> Wat denk je van Alpha Mega Hosting ?


Die beweren dat een hacker hun backup tapes heeft gehacked. Ook laten ze
zich bewust in met 419 scam. Search maar eens met google en je komt hele
vreemde dingen tegen over deze partij.

Als je een partij met clue wilt, en met goede diensten, dan moet je
waarschijnlijk toch wat meer gaan betalen...

--
Alain

spamsux.nl

I've checked it, Mr. Happy really wrote this:

>>> (overigens niet de meest profi-toko IMO)
>>
>>
>>Wist niet dat het over deze toko ging, maar deze toko staat al een paar
>>jaar in mijn blacklist ivm excessief spammen op fora's, usenet ea
>>plekken onder een valse naam, en het verspreiden van leugens over
>>concullega's onder een valse naam...
>
>
> (slik) Dus heb ik toch een verkeerde keuze gemaakt.
> Wat denk je van Alpha Mega Hosting ?

Hmm, IMO zijn die nog erger..

--
EP
Rockstars, is there anything they don't know? (Homer Simpson)
cp: Mike Oldfield - Tubular Bells - Part One

"Alain" <Alain@spamsux.nl> wrote in message
news:capm11$i7u$1@nl-news.euro.net...
> Mr. Happy wrote:
> > (slik) Dus heb ik toch een verkeerde keuze gemaakt.
> > Wat denk je van Alpha Mega Hosting ?
>
>
> Die beweren dat een hacker hun backup tapes heeft gehacked.

LOL

Overigens een methode die SOMS ook wel effect heeft op het stoppen van
ddos-aanvallen is het veranderen van dns voor de aangevallen site (mits je
weet welke het is, wat je weer zou kunnen zien in logfiles van je nameserver
:P). TTL van dat domein moet dan niet 1 dag ofzo zijn, anders heb je er ook
niks aan natuurlijk. Helaas gaat dit soort dingen meestal op basis van IP.

Mr. Happy wrote:

[...]
> Ik krijg het idee dat deze ISP toch minder kundig is dan hij zich voor
> doet. t (of niet bereid financieel te investeren) Het is lastig te
> bepalen wie zijn zaakjes nu wel goed op orde heeft. Alle recalme
> slogans zijn van het zelfde laken en pak. Beter, stabieler, 24 uur
> backup enz...........
>

Kijk eens bij www.webhosters.nl, lees de reacties per provider en kies
voor de beter bekende ISP. Je betaalt wel meer, maar daar krijg je ook
meer voor.

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234

Op Wed, 16 Jun 2004 17:27:48 +0200, Jan Reilink <janreilink@vevida.nl>
schreef:

>Mr. Happy wrote:
>
>[...]
>> Ik krijg het idee dat deze ISP toch minder kundig is dan hij zich voor
>> doet. t (of niet bereid financieel te investeren) Het is lastig te
>> bepalen wie zijn zaakjes nu wel goed op orde heeft. Alle recalme
>> slogans zijn van het zelfde laken en pak. Beter, stabieler, 24 uur
>> backup enz...........
>>
>
>Kijk eens bij www.webhosters.nl, lees de reacties per provider en kies
>voor de beter bekende ISP. Je betaalt wel meer, maar daar krijg je ook
>meer voor.

Nu ben ik geen type dat gauw gaat lopen schelden als er eens iets mis
gaat. Ik moet wel zeggen dat ik altijd snel en goed geholpen wordt
door mijn provider. Je krijgt ook snel een emailtje als er iets mis
is. Alleen vind ik het vreemd dat als een systeem wordt aangevallen
dan ook alle systemen offline gaan. Een Een extreem lange storing heb
ik bij hen nog niet meegemaakt. Maar bedankt voor de tip.
Ik zal eens op webhoster gaan kijken.

--

www.happysite.nl
Mr. Happy.

Verwijder .invalide uit mijn emailadres

On 2004-06-16, Alain <Alain@spamsux.nl> wrote:

> Er zijn meerdere oplossingen:
> - de dos gaan tegenhouden VOOR de webserver (ja dit kan)

Dat wil ik je nog wel eens zien doen met 4.5Gbit. Oh, het tegenhouden lukt
prima. Dat doen je routers uit zichzelf wel. Maar je wordt er niet minder
onbereikbaar door.

--
Ruben
"Conversation would be vastly improved by the constant use of four
simple words: I don't know." André Maurois