Onderwerp: Opstellingen banken over ddos

Oorspronkelijk geplaatst door visser

Zeker niet. Het verkeer loopt alleen over AMS-IX poorten als je op de AMS-IX peert met (hier) KPN en de prefixen van de bestemming announced.

Dat klopt. Maar je zit met een reden op de AMS-IX, namelijk dat je wilt peeren met een partij. Verizon doet dat niet met de kleintjes maar kan op de route-servers zitten en met partijen als KPN peeren. Het was in dit geval maar een voorbeeld, maar als je capaciteit daar maar 10Gbps is, dan is dit vragen om problemen.

Oorspronkelijk geplaatst door visser

Nee, peering is beslist niet 'tenzij je dat specifiek uitsluit' - het is een heel bewuste keuze om te gaan peeren , en gezien het feit dat ze transit provider zijn zal Verizon dat met niet al te veel partijen doen . En niet noodzakelijkerwijs over de AMS-iX - je kunt ook rechtstreeks peeren - het kost dan alleen een dedicated router port.
Overigens komt over een peering alleen verkeer binnen uit het netwerk van de peer(s).

Bedankt voor het lesje BGP. Maar het lijkt me duidelijk dat ze zijn aangesloten op de AMS-IX en daar dus iets met peering doen.

Wat ik duidelijk probeerde te maken is dat als je aan de éne kant van je netwerk (bijv. met transit providers) enorme lijnen hebt maar vervolgens aan de andere kant (bijv. op de AMS-IX) maar een 10Gbps poort hebt, je vraagt om problemen. En dus een DDoS al snel voor capaciteitsproblemen kan zorgen.

Oorspronkelijk geplaatst door visser

Verizon heeft ook een DDoS filter service . Dat zal de reden zijn waarom de banken op een bepaald moment alleen via Verizon zichtbaar waren.

Prachtig, maar als ze dus onvoldoende uplink capaciteit hebben heeft dat nihil effect.

Oorspronkelijk geplaatst door visser

Een ander aspect zal zijn dat bedrijven graag met een enkele partij werken, en deze banken hebben ook buitenlandse vestigingen. Als je een wereldwijd netwerk tussen al je vestigingen aanbesteed (met toevallig een grote presence in NL) is er maar een handvol partijen die zo'n totaalplaatje kan invullen.

Met 1 partij willen werken is he-le-maal onhandig. Het hele idee van internet is toch juist transit/peering en dus ultieme openheid en vrijheid? En hiermee hand-in-hand ook de veiligheid dat als partij A omvalt je niet zelf daarvan de dupe bent geworden.

Oorspronkelijk geplaatst door Spyder01

Die zogenaamde hacker bij Nieuwsuur over deze DDoS aanvallen... tenenkrommend.

Hehe, toevallig net ook gekeken. Als ze dat stalen gezicht van dat meisje gewoon voor de poorten van nl zetten, komt er geen ddos'er meer door

Waar halen ze dat soort mensen toch vandaan, ik snap wel dat dit tenenkrommend werkt

Oorspronkelijk geplaatst door CharlieRoot

Dat klopt. Maar je zit met een reden op de AMS-IX, namelijk dat je wilt peeren met een partij. Verizon doet dat niet met de kleintjes maar kan op de route-servers zitten en met partijen als KPN peeren. Het was in dit geval maar een voorbeeld, maar als je capaciteit daar maar 10Gbps is, dan is dit vragen om problemen.

Uh, voorlopig lijkt het erop dat je hele stelling dat Verizon te klein is gebaseerd is op hun portsnelheden op Exchanges.
Ze zullen er vast wel _iets_ mee doen, maar het lijkt me niet waarschijnlijk dat ze significant verkeer doen over een Exchange - omdat ze een grote transit zijn.

Overigens - route servers zijn deel van een Exchange infrastructuur zodat je nog makkelijker met heel veel partijen kunt peeren.
Je hoeft dan geen individuele BGP sessie meer te configureren met iedere peer, maar alleen met de route server.
(de exchange switchfabric dient nog steeds voor het transport ).

Een private peering is letterlijk een directe kabel tussen twee verschillende netwerken. Het 'peering' aan het geheel wil zeggen dat je alleen verkeer uit je eigen netwerk aanbiedt (geen transit) , en dat er niet voor betaald wordt.

Het is een "Duh" dat 10G nogal weinig is als je een behoorlijke DDoS wilt afhandelen en die DDoS ook binnen moet komen over die 10G.
Nogmaals - over een peering krijg je alleen verkeer binnen uit het netwerk van je peer . Bij een DDoS dus alleen van botjes (of amplifiers) in het netwerk van die peer, bijvoorbeeld.

Als je een tijdje zoekt in de RIPE DB kun je wel wat dingen opmaken over koppelingen. (niet altijd of de relatie betaald is of niet).

Ik heb het niet uitputtend gedaan, maar het lijkt erop dat AS702 over de AMS-IX met 12 andere AS'en peert . (w.o. de AMS-iX zelf ,en RIPE, dat is 3x niks qua verkeer) . Het lijkt KPN (KQ) en merken (xs4all, Planet/KPN IS) en nog een paar ASen.

Voor dat stel netwerken zal een 10G poort echt wel voldoende zijn - De KPN netwerken hebben hun zaken behoorlijk op orde, en zijn dus niet zo snel de bron van tig gigabytes aan DDoS verkeer .

Ander nederlands verkeer naar AS702 klanten zal over een andere interconnect gaan. (verkeer vanaf upc/ziggo - aorta.net - gaat idd niet over de AMS-IX ) .

Bedankt voor het lesje BGP. Maar het lijkt me duidelijk dat ze zijn aangesloten op de AMS-IX en daar dus iets met peering doen.

Wat ik duidelijk probeerde te maken is dat als je aan de éne kant van je netwerk (bijv. met transit providers) enorme lijnen hebt maar vervolgens aan de andere kant (bijv. op de AMS-IX) maar een 10Gbps poort hebt, je vraagt om problemen. En dus een DDoS al snel voor capaciteitsproblemen kan zorgen.

Het lesje BGP was blijkbaar niet duidelijk genoeg . Een AMS-IX poort voert alleen verkeer tussen AS-en die elkaar als peer configureren.
Afhankelijk van de grootte van de ASen en de inhoud ervan kan dat veel of weinig zijn.
Je peering policy wordt bepaald door je business , en als transit provider zul je vrij terughoudend zijn om te peeren .
(Verizon _heeft_ geen transit providers, ze _zijn_ dat.)

Prachtig, maar als ze dus onvoldoende uplink capaciteit hebben heeft dat nihil effect.

Een AMS-IX poort is geen "uplink capaciteit" - misschien wel vanuit het perspectief van een hoster, maar niet vanuit het perspectief van een transit provider.

Met 1 partij willen werken is he-le-maal onhandig. Het hele idee van internet is toch juist transit/peering en dus ultieme openheid en vrijheid?

Get real.
Koop je ook je CPU, geheugen, mobo, geheugen,disk, koeler, kast allemaal bij een verschillende partij ?
De wens voor 'single supplier' is wat sterker bij enterprises, maar het heeft echt wel logica om met niet al te veel partijen te willen werken, en al helemaal niet als die moeten samenwerken voor de totale dienst.
Zeker voor iets wat niet je core business is. (je bent een bank, geen telco ) .

Er is misschien best wat te zeggen voor de stelling dat 'publieke internet presence' en 'enterprise netwerk' voldoende verschillend zijn om apart aan te besteden, maar het idee om met niet al te veel leveranciers te willen werken is logisch. En zeker als die leveranciers moeten samenwerken voor jouw dienst.

transit = betaald vervoer van verkeer naar de hele wereld .
Je consumenten internet is dus altijd transit .

peering = verkeer uitwisselen dat een bron of bestemming heeft in jouw netwerk met een ander netwerk waar de bron/bestemming ligt - typisch met gesloten beurzen, omdat beide partijen vergelijkbaar zijn. (in baten en lasten, en dus in voordeel van uitwisseling) .
Als verkoper van transit zul je niet willen peeren met een potentiële klant.

Technisch gezien _zou_ de bank kunnen kiezen om veel meer netwerk zaken zelf te gaan regelen en directe koppelingen te maken met alle NL ISPs , en hun transit provider alleen voor 'overig' verkeer te gebruiken.
(en zolang de aanname dat NL ISP weinig DDoS verkeer genereren klopt , kun je dan een voorrangs selectie maken voor dat verkeer).
Dat vergt wel het opbouwen van een netwerk team (7x24) met wat specifieke expertise - (voor zo ver de banken zelf nog IT doen is die gericht op enterprise netwerken, minder op ISP/internet ). En , gezien deze discussie , de kennis is duidelijk niet zo erg gemeengoed.

En hiermee hand-in-hand ook de veiligheid dat als partij A omvalt je niet zelf daarvan de dupe bent geworden.

Er zit bij zo'n aanbesteding altijd een heel uitgebreide due diligence sectie omtrent de financiële stabiliteit van een leverancier.
Dat maakt het voor kleinere partijen lastig om binnen te komen bij dergelijke enterprises (of overheid).

Maar zijn er hier ook mensen die alles met Dell servers doen (of alles met HP) bezorgd dat Dell omvalt ?

Oorspronkelijk geplaatst door visser

Uh, voorlopig lijkt het erop dat je hele stelling dat Verizon te klein is gebaseerd is op hun portsnelheden op Exchanges.
Ze zullen er vast wel _iets_ mee doen, maar het lijkt me niet waarschijnlijk dat ze significant verkeer doen over een Exchange - omdat ze een grote transit zijn.

Overigens - route servers zijn deel van een Exchange infrastructuur zodat je nog makkelijker met heel veel partijen kunt peeren.
Je hoeft dan geen individuele BGP sessie meer te configureren met iedere peer, maar alleen met de route server.
(de exchange switchfabric dient nog steeds voor het transport ).

Een private peering is letterlijk een directe kabel tussen twee verschillende netwerken. Het 'peering' aan het geheel wil zeggen dat je alleen verkeer uit je eigen netwerk aanbiedt (geen transit) , en dat er niet voor betaald wordt.

Het is een "Duh" dat 10G nogal weinig is als je een behoorlijke DDoS wilt afhandelen en die DDoS ook binnen moet komen over die 10G.
Nogmaals - over een peering krijg je alleen verkeer binnen uit het netwerk van je peer . Bij een DDoS dus alleen van botjes (of amplifiers) in het netwerk van die peer, bijvoorbeeld.

Als je een tijdje zoekt in de RIPE DB kun je wel wat dingen opmaken over koppelingen. (niet altijd of de relatie betaald is of niet).

Ik heb het niet uitputtend gedaan, maar het lijkt erop dat AS702 over de AMS-IX met 12 andere AS'en peert . (w.o. de AMS-iX zelf ,en RIPE, dat is 3x niks qua verkeer) . Het lijkt KPN (KQ) en merken (xs4all, Planet/KPN IS) en nog een paar ASen.

Voor dat stel netwerken zal een 10G poort echt wel voldoende zijn - De KPN netwerken hebben hun zaken behoorlijk op orde, en zijn dus niet zo snel de bron van tig gigabytes aan DDoS verkeer .

Ander nederlands verkeer naar AS702 klanten zal over een andere interconnect gaan. (verkeer vanaf upc/ziggo - aorta.net - gaat idd niet over de AMS-IX ) .



Het lesje BGP was blijkbaar niet duidelijk genoeg . Een AMS-IX poort voert alleen verkeer tussen AS-en die elkaar als peer configureren.
Afhankelijk van de grootte van de ASen en de inhoud ervan kan dat veel of weinig zijn.
Je peering policy wordt bepaald door je business , en als transit provider zul je vrij terughoudend zijn om te peeren .
(Verizon _heeft_ geen transit providers, ze _zijn_ dat.)



Een AMS-IX poort is geen "uplink capaciteit" - misschien wel vanuit het perspectief van een hoster, maar niet vanuit het perspectief van een transit provider.



Get real.
Koop je ook je CPU, geheugen, mobo, geheugen,disk, koeler, kast allemaal bij een verschillende partij ?
De wens voor 'single supplier' is wat sterker bij enterprises, maar het heeft echt wel logica om met niet al te veel partijen te willen werken, en al helemaal niet als die moeten samenwerken voor de totale dienst.
Zeker voor iets wat niet je core business is. (je bent een bank, geen telco ) .

Er is misschien best wat te zeggen voor de stelling dat 'publieke internet presence' en 'enterprise netwerk' voldoende verschillend zijn om apart aan te besteden, maar het idee om met niet al te veel leveranciers te willen werken is logisch. En zeker als die leveranciers moeten samenwerken voor jouw dienst.

transit = betaald vervoer van verkeer naar de hele wereld .
Je consumenten internet is dus altijd transit .

peering = verkeer uitwisselen dat een bron of bestemming heeft in jouw netwerk met een ander netwerk waar de bron/bestemming ligt - typisch met gesloten beurzen, omdat beide partijen vergelijkbaar zijn. (in baten en lasten, en dus in voordeel van uitwisseling) .
Als verkoper van transit zul je niet willen peeren met een potentiële klant.

Technisch gezien _zou_ de bank kunnen kiezen om veel meer netwerk zaken zelf te gaan regelen en directe koppelingen te maken met alle NL ISPs , en hun transit provider alleen voor 'overig' verkeer te gebruiken.
(en zolang de aanname dat NL ISP weinig DDoS verkeer genereren klopt , kun je dan een voorrangs selectie maken voor dat verkeer).
Dat vergt wel het opbouwen van een netwerk team (7x24) met wat specifieke expertise - (voor zo ver de banken zelf nog IT doen is die gericht op enterprise netwerken, minder op ISP/internet ). En , gezien deze discussie , de kennis is duidelijk niet zo erg gemeengoed.



Er zit bij zo'n aanbesteding altijd een heel uitgebreide due diligence sectie omtrent de financiële stabiliteit van een leverancier.
Dat maakt het voor kleinere partijen lastig om binnen te komen bij dergelijke enterprises (of overheid).

Maar zijn er hier ook mensen die alles met Dell servers doen (of alles met HP) bezorgd dat Dell omvalt ?

Man man man. Lezen is moeilijk he. Nogmaals ik hoef geen lesje BGP, heb ik vaak zat mee gewerkt en ben prima bekend met transit en peering. Je leest alleen totaal over het punt heen en loopt een beetje te flamen als of je bij Verizon werkt.. leer lezen.

En prima. Als jij jouw netwerk aan een single homed lijntje wilt hangen moet je dat doen. Ik kan dat niet verkopen aan mijn klanten en een bank al helemaal niet. Zegt iets over jouw professionaliteit . Misschien iets voor nieuwsuur? Het niveau komt schrikbarend overeen.

Fijne avond..

Oorspronkelijk geplaatst door CharlieRoot

Man man man. Lezen is moeilijk he. Nogmaals ik hoef geen lesje BGP, heb ik vaak zat mee gewerkt en ben prima bekend met transit en peering. Je leest alleen totaal over het punt heen en loopt een beetje te flamen als of je bij Verizon werkt.. leer lezen.

En prima. Als jij jouw netwerk aan een single homed lijntje wilt hangen moet je dat doen. Ik kan dat niet verkopen aan mijn klanten en een bank al helemaal niet. Zegt iets over jouw professionaliteit . Misschien iets voor nieuwsuur? Het niveau komt schrikbarend overeen.

Fijne avond..

Ik werk niet bij Verizon. Noch bij ABN.

Maar als je 'punt' blijft dat het hebben van een 10G poort op de AMS-IX iets zegt over totale netwerk capaciteit (of over capaciteit naar "Nederland", of afgenomen capaciteit door een klant ) laat je zien dat je netwerk/routing kennis wat lacunes heeft. Of dat je erg snel naar conclusies springt.

Wat voor capaciteit ABN afneemt, en hoe groot/hoe effectief de filter capaciteit is die Verizon ervoor kan zetten is niet te zeggen op basis van wat er publiek is.

Ook de conclusie 'single homed lijntje' is niet te trekken op basis van een traceroute naar een IP over hetzelfde pad - een active/standby loadbalancer setup met L2 koppeling tussen locaties zal er ook zo uitzien.
Volgens de RIPE db is ABN overigens dual homed met een eigen AS.

Wat ze ook doen is bij de recente DDoSen niet 100% effectief geweest. Waar dat aan ligt is zo nog niet te zeggen. Mogelijk gewoon de doorlooptijd tussen het bestellen van mitigatie voor type verkeer x/y/z . Of het soort DDoS . Of iets anders.

Maar Nieuwsuur niveau ? Ik ben niet degene hier die een hoop ongefundeerde conclusies over netwerk capaciteiten verkondigd heeft .

Fijne avond ook - besteed 'm met wat netwerk literatuur.

Heren, het is duidelijk dat jullie verschillende meningen hebben. Voor beiden valt wel wat te zeggen.

Oorspronkelijk geplaatst door telegraaf

Je moet het IP-adres blackholen in samenwerking met de upstreamprovider.

Alsof dat zo makkelijk is. Je kan dan van IP switchen, maar een goede aanval switched net zo graag van IP adres. Blackholen is de fast-track oplossing, maar niet de oplossing die je wilt hebben. Het spreekt voor zich dat het niet werkt, immers zijn de aanvallen ook op andere doelen overgegaan. Ik heb het ook vaak genoeg met klanten meegemaakt dat na het switchen van IP adres dat de aanval vrolijk verder.

Tevens ben ik van mening dat wij het van buitenaf wel heel makkelijk kunnen speculeren en er zijn zeker ook valide punten genoemd, maar zolang de banken gesloten zijn over de type aanvallen dan weten wij ook niet veel meer dan dit. Is het een aanval op de infrastructuur? Hoe adaptief is de aanval? Etc. We moeten niet vergeten dat DDoS aanvallen zeer geavanceerd kunnen zijn. En dan hebben we het nog niet eens gehad over dat de aanvallen een andere aanval kan verbergen...

Wat mij wel verbaasd is dat Verizon wordt ingezet. Zoals eerder gezegd kan het zijn ivm de DDoS straat maar daar hebben wij ook prima Nederlandse oplossingen voor. Wie weet wat er wordt afgetapt...

Oorspronkelijk geplaatst door CharlieRoot

Het artikel is wat kort door de bocht, het is de telegraaf. Met IP Blackhole is inderdaad dat IP adres offline, maar met een load balancer er voor en een beetje kennis van DNS moet je het binnen enkele minuten kunnen overzetten naar een ander IP adres zodat je weer online bent.

Dit moet een grap zijn.

- De aanvaller weet ook af van je DNS wijziging, dus wat is het nut?
- Denk je echt dat enterprise omgevingen, zoals een bank, IP adressen gaan wijzigen? Daar win je niks mee.
- Een LB hebben ze sowieso al, daarmee ga je echt geen aanval tegen.

https://tweakers.net/reviews/6031/ee...lamp-liep.html

Ben ik de enige die het apart vind dat anno 2018 een DNS amplification attack nog werkt bij de grote bedrijven en overheid. En dan gewoon via een stressertje.... Beetje knullig imho.

Ik zag dat Jelle S. ook een hostingbedrijf heeft

Oorspronkelijk geplaatst door dennis0162

Ik zag dat Jelle S. ook een hostingbedrijf heeft

ThaHosting inderdaad: https://thahosting.nl/

Oorspronkelijk geplaatst door dennis0162

Ik zag dat Jelle S. ook een hostingbedrijf heeft

zit bij jou om de hoek, vast rackspace bij jou

ThaHosting zit in Switch Datacenters Amsterdam.

Grappig dat alle info hier voor het oprapen ligt. Ik heb met plezier gelezen.

Grappig wel... vroeger moest ik uitzoeken welk exacte os een server draaide, dat zelf installeren, weken kloten om een ingang te vinden en na een maand was er niemand die je hacker noemde omdat ... je dat tegen niemand zei.

Nu koop je voor een paar tientjes zakgeld een ddos en 2 dagen later sta je in de krant als zijnde een uberhacker, wordt de halve wereld beschuldigd en maken zelfbenoemde experts zich online en op tv totaal belachelijk.

Nog even en 'Idiocracy' is een feit...

(Ok, mijn 'vroeger' is dan wel ruim 20 jaar geleden...)