Onderwerp: Kosten DDoS

Geenstijl.nl wordt geDDoSsed omdat ze blijkbaar gegevens van de
verantwoordelijke voor de aanvallen op de overheidssites bekendmaakten.

Op webwereld lees ik nu over de provider van Geenstijl:

"Cysonet werd bij de aanval volgens eigen opgave vanaf 89.000 computers op
internet aangevallen. "Deze machines wisten op de piek van de aanval meer
dan 500 Mbit aan internet verkeer te genereren", stelt Cysonet in een
verklaring"

Een paar vraagjes:

Hoeveel kost dat nou zoveel traffic over een langere periode ?
(bijvoorbeeld iets van 24-72 uur)

Wie draait er op voor deze kosten ? (de provider ? de site die wordt
aangevallen ?)

Kun je deze kosten verhalen op de daders ? (lijkt me lastig om aan te tonen
voor welke deel van de traffic een dader precies vernatwoordelijk is als je
die persoon al kunt vinden)

Is het niet zinvol voor de nederlandse providers om samen te werken en een
plaats te creeren waar je sites heen kunt verhuizen die geDDoSsed worden
waar ze speciale tools hebben om de DDoS snel te blokkeren en de normale
traffic weer door te laten zodat een site binnen 24 uur (of nog sneller
liever) weer up and running is.

On Fri, 8 Oct 2004 14:00:59 +0200, "Albert Zonneveld"
<Send.To.a.zonneveld@tip.nl> wrote:

>Geenstijl.nl wordt geDDoSsed omdat ze blijkbaar gegevens van de
>verantwoordelijke voor de aanvallen op de overheidssites bekendmaakten.
>
>Op webwereld lees ik nu over de provider van Geenstijl:
>
>"Cysonet werd bij de aanval volgens eigen opgave vanaf 89.000 computers op
>internet aangevallen. "Deze machines wisten op de piek van de aanval meer
>dan 500 Mbit aan internet verkeer te genereren", stelt Cysonet in een
>verklaring"

persoonlijk heb ik moeite met deze getallen, ten eerste een botnet van
89000 pc's lijkt mij al veel te veel. om vervolgens "maar" 500 Mbit
verkeer te produceren, dat is 5,6 Kbit/s per machine. Ik heb zelf eens
een DDoS op ons netwerk binnen gekregen van 1.2 Gbit/s, en deze werd
veroorzaakt door ruim 4000 machines.

>Een paar vraagjes:
>
>Hoeveel kost dat nou zoveel traffic over een langere periode ?
>(bijvoorbeeld iets van 24-72 uur)

Geen idee, dat is afhankelijk van de afspraken met je uptstream
provider, als je upstream keihard en 95 % regel toe past ( 95 % van je
piek in de maand ) dan ben je behoorlijk duur uit, een Mbit prijs zit
tussen de € 20,- en de 100,- ( maar net wat de gek er voor betaald )
Maar de meeste upstream providers die ik ken, zijn schappelijk als het
gaat om dit soort incidenten, en zullen ook niet doorberekenen.

>Wie draait er op voor deze kosten ? (de provider ? de site die wordt
>aangevallen ?)

Dat is provider afhankelijk, welke afspraken er zijn gemaakt tussen
klant en provider, is dus niets over zinnigs over te zeggen.

>Kun je deze kosten verhalen op de daders ? (lijkt me lastig om aan te tonen
>voor welke deel van de traffic een dader precies vernatwoordelijk is als je
>die persoon al kunt vinden)

vast wel, gewoon het gemiddelde verbruik van de maand nemen en de piek
die door de DDoS verookzaakt is aftikken, nu nog de dader vinden....

>Is het niet zinvol voor de nederlandse providers om samen te werken en een
>plaats te creeren waar je sites heen kunt verhuizen die geDDoSsed worden
>waar ze speciale tools hebben om de DDoS snel te blokkeren en de normale
>traffic weer door te laten zodat een site binnen 24 uur (of nog sneller
>liever) weer up and running is.

DDoS analyse tools hebben alle providers wel draaien, maar
automatische detectie en blokken van DDoS is iets heel anders, er zijn
bedrijven ( bijv: riverhead.com ) die hier hele mooie/dure oplossing
voor heeft. De DDoS gevoelige sites zullen dan ook heel veel geld
moeten betalen om zo'n investering terug te verdienen. Ik ken ook geen
providers in .nl die soort gelijk systeem hebben draaien, gat in de
markt ?

Maurice

Albert Zonneveld wrote:

[knip]

> Is het niet zinvol voor de nederlandse providers om samen te werken en een
> plaats te creeren waar je sites heen kunt verhuizen die geDDoSsed worden
> waar ze speciale tools hebben om de DDoS snel te blokkeren en de normale
> traffic weer door te laten zodat een site binnen 24 uur (of nog sneller
> liever) weer up and running is.

Uhm, alle DDoS gevoelige sites/firums & andere dingen bij elkaar in 1
netwerk. Dan zal het weinig uptime hebben uiteindelijk.

Het 'blokkeren' van een attack is natuurlijk leuk, maar als het meer
traffic heeft dan je aan totale capaciteit hebt ben je toch onbereikbaar
ook al blokkeer je het.

Bart

On Sat, 09 Oct 2004 00:08:58 +0200, b-ART-
<bart-remove-@kerkvliet.cistron.nl> wrote:


>Uhm, alle DDoS gevoelige sites/firums & andere dingen bij elkaar in 1
>netwerk. Dan zal het weinig uptime hebben uiteindelijk.
>
>Het 'blokkeren' van een attack is natuurlijk leuk, maar als het meer
>traffic heeft dan je aan totale capaciteit hebt ben je toch onbereikbaar
>ook al blokkeer je het.

Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
is genoeg bandbreedte en routercapaciteit

Maurice

On 2004-10-09, Maurice Sienema <> wrote:

> Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
> is genoeg bandbreedte en routercapaciteit

Dacht je? Met letterlijk honderden miljoenen PC's waarvan een behoorlijk
deel eenvoudig in te zetten voor een DDoS kan je petabits per seconde aan
verkeer opleveren. Dat terwijl een terabit per seconde al een serieus
probleem oplevert.

Preventie lijkt me een betere oplossing.

--
Ruben

I am, and therefore you route.

"Ruben van der Leij" <ruben-news@nutz.nl> wrote in message
news:slrncmgb5s.79v.ruben-news@its.blacklisted.nl...
> On 2004-10-09, Maurice Sienema <> wrote:
>
> > Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
> > is genoeg bandbreedte en routercapaciteit

Ja maar juist daarom zou je als gezamelijke providers iets moeten doen.
Een locatie die je direct aan de AIX kan hangen of zo. De apparatuur tegen
een DDoS is schijnbaar nogal kostbaar en kan bovendien veel efficienter
ingezet worden als er veel providers gebruik van kunnen maken.

> Dacht je? Met letterlijk honderden miljoenen PC's waarvan een behoorlijk
> deel eenvoudig in te zetten voor een DDoS kan je petabits per seconde aan
> verkeer opleveren. Dat terwijl een terabit per seconde al een serieus
> probleem oplevert.

Honderden miljoenen PC's. Lijkt me volstrekt overdreven. Mischien dat er
enkele tientallen miljoenen PC's momenteel geinfecteerrd zijn met een trojan
waarmee je er controle over kan krijgen. Dan nog denk ik niet dat er 1 groep
is die er meer dan een miljoen controleert en dat zal dan wel een spammer
zijn omdat zoveel moeite alleen zinvol is als je er voor betaald wordt.

In article <41683ec8$0$44074$5fc3050@dreader2.news.tiscali.nl >,
Albert Zonneveld <Send.To.a.zonneveld@tip.nl> wrote:
>
>"Ruben van der Leij" <ruben-news@nutz.nl> wrote in message
>news:slrncmgb5s.79v.ruben-news@its.blacklisted.nl...
>> On 2004-10-09, Maurice Sienema <> wrote:
>>
>> > Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
>> > is genoeg bandbreedte en routercapaciteit
>
>Ja maar juist daarom zou je als gezamelijke providers iets moeten doen.
>Een locatie die je direct aan de AIX kan hangen of zo. De apparatuur tegen
>een DDoS is schijnbaar nogal kostbaar en kan bovendien veel efficienter
>ingezet worden als er veel providers gebruik van kunnen maken.

Er is niet zoiets als magische apparatuur die een DDOS stopt.

Een DDOS betekent dat duizenden PCs over de hele wereld packets
naar /jouw/ IP adres sturen. Behalve het hele netwerk waarin dat
IP adres voorkomt niet meer aan de rest van de wereld te adverteren,
met andere woorden jezelf van het Internet verwijderen,
is er GEEN manier om dit te stoppen. Dat verkeer wordt nu eenmaal
verstuurd en komt naar je toe, of je het wilt of niet.

Als je teveel post krijgt kan je de brievenbus dichtplakken, maar
dan stapelt het voor je deur op ..

De DDOS attack mitigation apparatuur die je kan krijgen zorgen ervoor
dat het DDOS verkeer wordt uitgefilterd binnen je netwerk zodat je
aangevallen servers het niet voor de kiezen krijgen en redelijk normaal
door kunnen draaien, maar het verkeer komt op je router(s) WEL nog
steeds binnen. En als je een 100 mbit internet aansluiting hebt,
of een paar honderd mbit, en je krijgt een DDOS attack van 1 Gbit
voor je kiezen, dan helpt ook die DDOS attack mitigation apparatuur
helemaal niets meer want je internet pijp is compleet verstopt.

>Honderden miljoenen PC's. Lijkt me volstrekt overdreven. Mischien dat er
>enkele tientallen miljoenen PC's momenteel geinfecteerrd zijn met een trojan
>waarmee je er controle over kan krijgen.
>Dan nog denk ik niet dat er 1 groep
>is die er meer dan een miljoen controleert en dat zal dan wel een spammer
>zijn omdat zoveel moeite alleen zinvol is als je er voor betaald wordt.

Dus? Zie http://www.merit.edu/mail.archives/n.../msg00089.html

Mike.
--
"In times of universal deceit, telling the truth becomes
a revolutionary act." -- George Orwell.

On 2004-10-09, Albert Zonneveld <Send.To.a.zonneveld@tip.nl> wrote:

>> Dacht je? Met letterlijk honderden miljoenen PC's waarvan een behoorlijk
>> deel eenvoudig in te zetten voor een DDoS kan je petabits per seconde aan
>> verkeer opleveren. Dat terwijl een terabit per seconde al een serieus
>> probleem oplevert.

> Honderden miljoenen PC's. Lijkt me volstrekt overdreven.

" [May 3, 2004]
WinHEC 2004: Microsoft Sells 210 Million Copies of Windows XP"

Zoals je weet ligt het marktaandeel van XP onder de 50%, dus zijn er nogeens
210 miljoen computers met oudere versies windows. 400.000.000 lijkt me zeker
niet overdreven.

> Mischien dat er enkele tientallen miljoenen PC's momenteel geinfecteerrd
> zijn met een trojan waarmee je er controle over kan krijgen.

"PCs scanned using a free scanning service from US ISP giant EarthLink
harboured an average of 28 items of spyware, according to figures published
yesterday."

De gemiddelde gescande PC heeft 28 verschillende stuks (26, volgens een
recent persbericht wat ik even niet kan vinden) spyware aan boord. Een deel
daarvan bevat genoeg functionaliteit om bijvoorbeeld nieuwe versies te
downloaden.

De vraag wordt dan wat er kan met spyware. Kun je mensen naar een bepaalde
pagina sturen? Dan kun je alles wat je wilt aan remote control rommel
installeren. Kun je met spyware een lokaal commando uitvoeren? Dan is het al
genoeg, je hebt de gewenste remote-control al. Als je denkt dat spyware niet
meer doet dan surfgedrag rapporteren loop je jaren achter bij de industrie.

Volgende vraag. Welk percentage van de PC's heeft spyware aan boord. Ik
schat, afgaande op m'n eigen ervaringen dat dat meer dan 80% is.

Laatste punt: hoe moeilijk is het om de updates-server van de meest
voorkomende spyware te kraken en daar een DDoS-drone neer te zetten?

Even voor de duidelijkheid: het is inmiddels wel duidelijk dat de
georganiseerde misdaad veel interesse heeft.

http://www.eweek.com/article2/0,1759,1617233,00.asp

Ik zeg niet dat je morgen 1Pbit/s naar je hoofd krijgt. Ik zeg wel dat de
mono-cultuur rond windows catastrofale infecties mogelijk maakt. En geen van
je tegenargumenten heeft daar iets aan veranderd. Ik heb al meer dan eens
4.500.000.000 bits per seconde naar m'n netwerk zien stromen, en ik kan je
verzekeren dat niemand in Nederland daar een zinnig antwoord op heeft.
Uitzetten en afwachten is de enige oplossing.

--
Ruben

I am, and therefore you route.

On Sat, 9 Oct 2004 21:27:08 +0000 (UTC), Ruben van der Leij
<ruben-news@nutz.nl> wrote:

</snap mooi verhaal>

>Ik zeg niet dat je morgen 1Pbit/s naar je hoofd krijgt. Ik zeg wel dat de
>mono-cultuur rond windows catastrofale infecties mogelijk maakt. En geen van
>je tegenargumenten heeft daar iets aan veranderd. Ik heb al meer dan eens
>4.500.000.000 bits per seconde naar m'n netwerk zien stromen, en ik kan je
>verzekeren dat niemand in Nederland daar een zinnig antwoord op heeft.
>Uitzetten en afwachten is de enige oplossing.

daarom zei ik ook: de enige echte oplossing om een DDoS het hoofd te
bieden is genoeg bandbreedte en routercapaciteit. Als jij 10 GBit
verbindingen (met bijbehorende capabele routers) naar je carriers had
lopen, was het geen probleem geweest.

maar het is inderdaad beter om een DDoS bij de bron aan te pakken; de
security van desbetreffende machine/OS.


Maurice

On 2004-10-09, Maurice Sienema <> wrote:

>>4.500.000.000 bits per seconde naar m'n netwerk zien stromen, en ik kan je
>>verzekeren dat niemand in Nederland daar een zinnig antwoord op heeft.

> daarom zei ik ook: de enige echte oplossing om een DDoS het hoofd te
> bieden is genoeg bandbreedte en routercapaciteit. Als jij 10 GBit
> verbindingen (met bijbehorende capabele routers) naar je carriers had
> lopen, was het geen probleem geweest.

Stel: ik heb 100Gbit/s tot m'n beschikking, en inderdaad, de teller blijft
hangen op 13.4Gbit/s. Wat dan? 1 voor 1 alle 80.000 drones blokken in een
firewall? Ik heb nieuws voor je: er is geen firewall die dat kan. 100 of
1000 rules in het packetfilter van een router gaat nog wel, (respectievelijk
Cisco en Juniper) maar 80.000 rules is niet met een CPU te doen, niet bij
13400000000 bits per seconde, en geen van de hardware-oplossingen heeft
voldoende ruimte in de ASIC's om 80.000 rules af te werken.

http://www.cisco.com/en/US/products/...d800fa55e.html

Kost je ongeveer 70.000 dollar, en kan wel een volle Gbit verkeer aan. Met
een beetje DDoS van wat boze scriptkiddies en je kunt vijf of tien van die
dingen aan het werk zetten.

Even een paar ton uitgeven is voor de meeste hosters geen optie.

> maar het is inderdaad beter om een DDoS bij de bron aan te pakken; de
> security van desbetreffende machine/OS.

Erger: het is de enige optie. Nu kun je misschien nog wel iets knutselen,
maar als de trend zich doorzet is er geen andere oplossing. Mijn eerste
grote DDoS was 'maar' 600Mbit. Twee jaar later was 2, 3, of 4Gbit niet
ongewoon. Ik voorspel je binnen het jaar een incident wat over tientallen
Gbit/s gaat. En ik ben blij dat ik er niet meer mee te maken heb.

--
Ruben

I am, and therefore you route.

Maurice Sienema wrote:
>> Het 'blokkeren' van een attack is natuurlijk leuk, maar als het meer
>> traffic heeft dan je aan totale capaciteit hebt ben je toch
>> onbereikbaar ook al blokkeer je het.
>
> Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
> is genoeg bandbreedte en routercapaciteit


Dan blijkt ook wel dat heel weinig isp's dat echt hebben. Van oa Trueserver
weet ik dat die al heel wat serieuze dos-attacks hebben gehad, en dat
klanten daar gewoon *niks* van hebben gemerkt. Zijn maar weinig providers
die een dos van een paar gbit kunnen opvangen zonder dat het echt merkbaar
is. Sterker nog, ik kan nog wel wat Trueserver concurrenten noemen die bij
een dos attack van enkele tientallen mbits al niet meer bereikbaar zijn....


--
Alain

spamsux.nl

"Albert Zonneveld" <Send.To.a.zonneveld@tip.nl> wrote
> Geenstijl.nl wordt geDDoSsed omdat ze blijkbaar gegevens van de
> verantwoordelijke voor de aanvallen op de overheidssites bekendmaakten.

Kleine update:
Blijkbaar is er wel een aardige weblog oorlog bezig.
Ondertussen zijn er al 5 weblogs geDDoSsed.
GeenStijl.nl, zeikerdje.com, neukia.nl en Yakuzi.com en likmijnkanaal.com
zijn al 1 of meerdere keren plat gegaan of zijn dat nog steeds.
Verder wordt een medewerker van de grote weblog fok.nl gezien als een
mogelijke betrokkene bij de DDoS acties op de 'concurrentie'.

Wel een genante vertoning ondertussen. Zo direct wil niemand meer een weblog
hosten vanwege het risico op een DDoS. Zijn er nog hosters die specialiseren
in wat meer controversiele sites die wat meer risico lopen ?

> Wel een genante vertoning ondertussen. Zo direct wil niemand meer een
weblog
> hosten vanwege het risico op een DDoS. Zijn er nog hosters die
specialiseren
> in wat meer controversiele sites die wat meer risico lopen ?

Tja, ik vindt dat ik dat niet kan beoordelen. Achteraf kan ik een klant
melden dat er een aparte server voor hem moet komen ofzo. Ik host bv
www.politieacties.nl van de politievakbonden tegen balkenende oid, dat komt
binnen via een advertentie in de computer idee ofzo en ik ken ze verder
niet.

Moet ik dan denken, dit is ook overheid en misschien kwetsbaar? Er is gewoon
weinig tegen te doen zolang ICANN of weet ik veel wie windows clients online
toestaan ;-)

Serieus, eigenlijk zou je elke virusuitbraak bij Billware moeten neerleggen,
of nu als EU:

- microsoft zorgt binnen 6 maanden voor een veilige windows en anders kan
door nieuwe wet in EU landen zowel particulieren als bedrijven/instanties
alle kosten tav DDoS, virussen, hackers, etc. verhalen op Microsoft. Niks
X-Box, Internet Explorer, etc. totdat je Windows af hebt...
- providers dwingen Windows clients te controleren op:
- browser (versie)
- alle updates gedraaid
- alle poorten dicht
- up to date virusscanner erop

Doe je dit niet dan kan elke mafketel via astalavista even een recente
e-mail/IIS worm source downloaden, aanpassen, verspreiden en op een bepaald
moment vanaf duizenden PC's aanvallen of zelfs bestaande besmette systemen
via std. hackerspoortje kapen en gebruiken.

Zet nep PC's op als fuik en traceer een IP als ervandaan een request komt.
Maarja, dit is wereldwijd niet te doen, wellicht alleen nog landen online
laten die instaat zijn om de zooi goed te beheren enzo, landen als de
filipijnen er gewoon hard afkicken behalve enkele systemen die wel goed
beheert worden (en dus mee kunnen werken in een trace naar virusschrijvers
of hackers die 50 hops gebruiken om PC's te besmetten).

Het zou ook handig zijn als ams-ix vertrouwde providers automatisch IP's kan
laten blacklisten. Ik pas alle links aan in een site naar de zoek
PHP/ASP/JSP pagina (of andere zware pagina waarop men DOSed) en alle
requests op de oude URL komen direct in NLBAN database, die dus voor alle NL
providers gebanned worden oid???

Ik wil wel meedoen, maarja als spamvrij.nl het al niet red waar moet dit dan
van betaald worden. Er is een HELE DURE ONZINNIGE STOMME STICHTING VOOR
PROVIDERS, laat die eens wat ondernemen ofzo...dan wordt ik misschien ook
nog lid.

Albert Zonneveld wrote:
> Blijkbaar is er wel een aardige weblog oorlog bezig.
> Ondertussen zijn er al 5 weblogs geDDoSsed.
> GeenStijl.nl, zeikerdje.com, neukia.nl en Yakuzi.com en
> likmijnkanaal.com zijn al 1 of meerdere keren plat gegaan of zijn dat
> nog steeds.
> Verder wordt een medewerker van de grote weblog fok.nl gezien als een
> mogelijke betrokkene bij de DDoS acties op de 'concurrentie'.


Een klant van mij host www.rasnerd.nl en heeft ook een kleine dos-attack
gehad naar aanleiding van die geenstijl.nl zaken. Ben verder overigens niet
op de hoogte wat er precies speelt...

>
> Wel een genante vertoning ondertussen. Zo direct wil niemand meer een
> weblog hosten vanwege het risico op een DDoS. Zijn er nog hosters die
> specialiseren in wat meer controversiele sites die wat meer risico
> lopen ?


Als men een eigen server heeft, en er gebeuren geen zwaar illegale zaken en
men gewoon de traffic kosten wil betalen, dan ken men hem bij mij in een
rack hangen hoor... Denk overigens dat weinig providers daar problemen mee
hebben, mits ze natuurlijk beschikken over genoeg bandbreedte dan...


--
Alain

spamsux.nl

On 2004-10-10, Alain <Alain@spamsux.nl> wrote:

>> Inderdaad, de enige echte oplossing om een DDoS het hoofd te bieden
>> is genoeg bandbreedte en routercapaciteit

> Dan blijkt ook wel dat heel weinig isp's dat echt hebben. Van oa Trueserver
> weet ik dat die al heel wat serieuze dos-attacks hebben gehad, en dat
> klanten daar gewoon *niks* van hebben gemerkt.

<giggle>

Jou is het duidelijk, maar Albert zal nog niet helemaal door hebben dat ik
toen de schone opdracht had het spul vliegende te houden. En dat ik dus wel
een beetje weet waar ik het over heb.

Overigens blijkt ook een duidelijk beleid ten aanzien van je klanten een
prima DDoS-filter. Bepaalde diensten (shell-hosting bijvoorbeeld) levert
meer ellende op dan gewoon bedrijfssites hosten. Chantage, concurrenten met
een naar karakter of politiek activisme zijn recente problemen, en of dat zo
door blijft gaan is nog maar de vraag. Hoog risico, lage opbrengst. Drift en
afgunst als drijfveer ligt dan meer voor de hand.

--
Ruben

I am, and therefore you route.