HTTP Dos Attack, hoe te beperken?

[snaaps]

Momenteel worden enkle servers al 3 dagen lang aangevallen d.m.v httpd attacks.

in 1 seconde worden er honderden httpd reqesten aangevraagd door gehackte adsl computers.

Momenteel blokeren wij alle ips handmatig door middel van apf firewall.

Tevens heb ik modsecurity en mod_evasive geinstalleerd, echter dit helpt allemaal niet veel.
http://www.directadmin.com/forum/sho...threadid=11125
http://www.directadmin.com/forum/sho...ght=modevasive
http://www.directadmin.com/forum/sho...hlight=reading

Iemand nog een idee om deze aanvallende ip's automatisch te laten blokeren?
Zit nu 24 uur per dag me servers te monitoren, zucht

[mrleejohn]

Mod-Dosevasive kun je wellicht tunen... sneller laten dichtslaan.

Ken je ook de extra rules voor mod-security van gotroot.com. Errug goed! Kun je ook blacklistings in zetten. Stukje beheerster dan via de firewall.

[joriz]

Misschien contact opnemen met je netwerkbeheerder zodat hij een hele IP range kan blokkeren (zwart gat/bouncen).

[snaaps]

ik dacht dat Mod-Dosevasive std dicht slaat bij 50 reqesten.
dit is natuurlijk laag genoeg dacht ik zo.

betreft die mod sercrety is dat nogal moeilijk te configureren.
krijg namelijk een hoop klachten van gebruikers die dan niet meer kunnen posten, mailen of uploaden.

Ip range blokeren heeft geen zin, omdat het allemaal verschillende ip ranges zijn.

[rayden]

Je kan eventueel proberen via iptables e.e.a te blokkeren of het aantal connecties vanaf een bepaald IP adres te blokkeren:

iptables -A INPUT -p tcp --dport 80 -m limit --limit 10 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP

Limit voor 10 connecties p/sec.

Wil je eventueel unclean packets droppen, want wss het geval is bij zon aanval:

iptables -A INPUT -m unclean --unclean -j DROP

Meestal zijn dit gewoon 'portfucks' (de HTTP poort met SYN requests spammen)

Zelf heb ik (na een hel van de afgelopen paar weken) wel veel ervaring met dit soort situaties, indien je hulp nodig hebt kun je me PM'en.

[Mark17]

via APF de ddos instellingen gebruiken. hierin kun je een maximum aantal verbindingen per IP instellen (stel hem bijvoorbeeld in op maximaal 100 verbindingen per minuut en 90% zal op je server gestopt worden, uiteraard kun je hem indien nodig ook lager of hoger instellen en afhankelijk van de gemiddelde aanvalsperiode kun je de IP's ook eens per [aantal] minuten of uren laten verwijderen om iedereen weer toegang te geven). Let wel dat je jezelf ook aan deze regeltjes houd anders kun je ook via ssh niet meer bij je server .

[snaaps]

ik kan deze instelling niet vinden in /etc/apf/ad/conf.antidos
Voor de rest lijkt alles goed te staan in deze conf.

[wv-]

bij syn flood willen syn cookies ook wel helpen:

echo "1" > /proc/sys/net/ipv4/tcp_syncookies

als het bestand niet bestaat moet je het nog wel in je kernel compilen.

[snaaps]

dit was al gedaan, standaard bij installatie.

kom er net achter dat de antidos functie van apf niet werkten omdat er nog geen cron ingesteld was.
ff gedaan dus, en krijg het werkt nu wel.

maarja, ik het blijft vervelend allemaal.
vandaag werd er mij een hardware matige firewall aangeraden.
dit is iets wat ik altijd uit gesteld heb, maar zit er nu toch wel heel hard aan te denken voor de volgende aanval.

pfff hebben die gasten niks beters te doen, dan een server aan te vallen?

[blaaat]

mod_evasive kan helpen.. geeft forbidden aan iedereen die per seconde te veel requests doet.

[snaaps]

is al geinstaleerd.
met deze settings:

<IfModule mod_evasive.c>
DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
DOSEmailNotify info@domein.nl
</IfModule>


p.s is het verstandig om hier nog iets aan te editen:
httpd.conf:

Timeout 300
KeepAlive On
MaxKeepAliveRequests 500
KeepAliveTimeout 5
MinSpareServers 5
MaxSpareServers 20
StartServers 8
MaxClients 450
MaxRequestsPerChild 1000

[snaaps]

Het is toch wel erg verdacht dat mijn server nu worden aangevallen ndat ik pas verhuisd bent naar een betrouwbare netwerk levancier.

of toch toeval

[Sander-]

Kun je niet met Snort/IDS laten monitoren en vervolgens door Guardian de IP's dynamisch aan je firewall toe laten voegen.

Werkt hier mooi. Maar das op een dedicated Smoothwall bak.

[McRox]

Je zou kunnen kijken waar de attack naar gericht is. Als het naar een bepaalde site is, zou je deze eventueel kunnen uitschakelen tot de attack gestopt is of deze site naar een aparte server verhuizen en vanuit de nieuwe server de attack migreren...

[Wido]

Origineel geplaatst door snaaps
Het is toch wel erg verdacht dat mijn server nu worden aangevallen ndat ik pas verhuisd bent naar een betrouwbare netwerk levancier.

of toch toeval

Ik denk dat het in jou geval geen toeval is, anders zou "toeval" bij veel mensen hebben toegeslagen.

Maar die mods in Apache zijn een oplossing, maar ze nemen nog wel slots in gebruik, dat kost onnodige Apache kracht.

Denk dat blokkeren op kernel-niveau een beter oplossing is, iptables dus.