Onderwerp: IP's van (D)DOSer vinden

Gister avond heb ik behoorlijk last gehad van een DOS-attack op een van mijn servers.
Helaas weet ik niks van hoe ik uit kan vinden wie de DOS-attack heeft uitgevoerd aangezien dit bij mij gelukkig nog nooit eerder is voorgekomen. Zelf heb ik al diverse logs (apache logs, messages log) doorgespit maar tot nu toe ben ik in al die logs nog niks zeer vreemds tegen gekomen.

Kan iemand mij vertellen of ik nog in een log terug kan zien wie de dader is.
Ik gebruik Fedora Core 2 met Cpanel als CMS.
Cpanel zelf geeft geen extreem traffic gebruik aan op een account.

Afbeelding van traffic gebruik:
http://www.joriz.net/dosattack.png

Bij voorbaat dank.

Nah echte ddos attack is het niet, meer iemand die ligt te flooden, waarschijnlijk is het niet eens opgevallen bij je bandbreedte provider. Mocht deze het wel hebben gezien dan zou je kunnen vragen om een ethereal tcpdump.

Dat wou ik ook net zeggen lijkt neit eens op een ddos. lijkt meer op iemand die grote file ofzo aan het zenden/ontvangen is.

Een backupje overzetten zorgt al snel voor 10 Mbit, ddos is meer richting 100 Mbit...

Psst, de grafiek is in bytes/s niet bits/s Lijkt mij wel degelijk een poging tot DoS. Vraag je upstream provider eens of ze er iets van weten, als je pech hebt hebben die ook niets en heb je dus waarschijnlijk niets (heb je syncookies aanstaan in je kernel? dan krijg je namelijk nog wel is meldingen in je message log)

Even bij je coloboer de log aanvragen, als er een hele hoge packetrate is gemeten op de door jou genoemde tijdstippen dan weten ze genoeg. Dan heb je een stel IP's van de botjes die gebruikt zijn en dan is het zaak om in een van de botjes te komen (of zijn verkeer te fingeren) zodat je weet naar welke IRC server hij connect, met een beetje geluk vind je dan de daadwerkelijke dader.

Wel veel gedoe, dat geef ik toe

Een beetje DDOS trekt de verbinding naar je provider vol, en 10Mbit lijkt niet echt op een DDOS.

Verder weet ik niet waar de statistieken gemeten worden (router, switch of server?), maar in de logfile heb je veel uitgaand verkeer, terwijl een DDOS inkomend is.

Een beetje DDOS trekt de verbinding naar je provider vol, en 10Mbit lijkt niet echt op een DDOS.

Het is 10 Mbyte/s

Verder weet ik niet waar de statistieken gemeten worden (router, switch of server?), maar in de logfile heb je veel uitgaand verkeer, terwijl een DDOS inkomend is.

Gezien de omschrijving boven het plaatje zal het niet op de server zelf zijn en klopt het dus dat het als outbound geregistreerd wordt.

Origineel geplaatst door wdv


Het is 10 Mbyte/s

Gezien de omschrijving boven het plaatje zal het niet op de server zelf zijn en klopt het dus dat het als outbound geregistreerd wordt.

Sorry, dat had ik niet direct gezien

En inderdaad twijfelde ik aan het feit waar de grafieken werden gemaakt. Wellicht kan TS daar meer over vertellen.

De datastroom is inderdaad behoorlijk, maar aan de grafiek te zien is het geen echte DDOS geweest. Wat wel kan is dat iemand natuurlijk aan het rotzooien geweest is.

Je zou bij je provider kunnen informeren of er logs bestaan (hoewel die kans niet echt heel groot is), en anders zelf voor de zekerheid een loggingservertje opzetten die je aanzet wanneer het verkeer veel wordt.

bij deze mijn excuus voor verkeerd zien van de graph. Tevens zal ik alsnogdie tcpdump vragen.

Er is wel iets vreemds:

Als de grafiek in bytes/s is opgesteld, waarom zitten er dan een maximum piek van 13,77MB/s in? Een FE poort haalt maximaal 12,5MB/s...