Wat te doen tegen DDoS

[Nautica]

Hallo allemaal, ik ben net nieuw hier op dit forum en heb al veel interassante kennis opgedaan.
Ik exploiteer diverse websites die liepen altijd bij yourhosting echter omdat ik meer controle wilde heb ik ze overgeheveld naar deze forum sponsor dus bij FXW op een VPS.
Tot nu toe erg tevreden en na wat tweaks draait mijn Magento shop veel sneller. en is de pageload ergens tussen 1 a 2 seconden.
Een andere site die ik heb en nog bij yourhosting draait ondergaat al vanaf voor 4 oktober een DDoS aanval.
Hierbij wordt steeds een niet bestaand bestand opgevraagd namelijk

http://mijndomein.nl/images/abc.php?crc=123

of

http://mijndomein.nl/images/abc.php?crc=558161692

door vele IP´s uit de hele wereld.
Yourhosting heeft op 12 oktober mijn site offline gezet echter in de logs zag ik al dat ze van voor 4 oktober al bezig zijn (lekker late reactie dus van YH ) verder kan ik niet terugkijken.
Op dit moment is het nog steeds aan de gang.
Er draait daar een webshop met erotische artikelen maar er is door tijdgebrek nog nauwelijks promotie geweest en er zijn nog maar een handvol bestellingen op binnengekomen. De site is dus nog nagenoeg niet bekend. Ook heb ik geen reputatie als DSB bank of stichting Brein.
Ik lees wel meer over DDoS aanvallen maar die duren dan 1 dag of zo.
Dit is toch niet meer normaal.

Ik was van plan deze site ook over te hevelen maar laat hem daar nog maar even de DDoS uitzingen ( wordt toch nog niet echt omzet op gedraaid).

Ik ben dus erg benieuwd naar jullie ervaringen hiermee en wil tevens graag weten of bijvoorbeeld mod_evasive daar enig effect op heeft en misschien zijn er nog wel andere mogelijkheden dit te bestrijden binnen een CentOs VPS omgeving met DirectAdmin.

Ook ben ik benieuwd of er een manier is om de source te achterhalen.

[marsipulami]

Een van de mogelijkheden om het afte weren is wanneer de doelgroep dit toelaat ip's uit "verkeerde" landen te blokkeren. Dat scheelt al direct.

[vDong]

Een andere site die ik heb en nog bij yourhosting draait ondergaat al vanaf voor 4 oktober een DDoS aanval.
Hierbij wordt steeds een niet bestaand bestand opgevraagd namelijk<KNIP>
Ook ben ik benieuwd of er een manier is om de source te achterhalen.

-heb je de domeinnaam al lang?
-Zou het mogelijk zijn dat het legitiem verkeer is naar een oude site?
-Over hoeveel hits heb je het?
-hoeveel traffic/resources gebruikt je 404 page? dat zou erg beperkt moeten zijn.

[mdvz0r]

weet je zeker dat het een ddos aanval betreft? verder duurt zo'n ddos aanval natuurlijk precies zo lang als dat de aanvaller dat wil. Je kunt er niets tegen doen..

[Nautica]

-heb je de domeinnaam al lang?
-Zou het mogelijk zijn dat het legitiem verkeer is naar een oude site?
-Over hoeveel hits heb je het?
-hoeveel traffic/resources gebruikt je 404 page? dat zou erg beperkt moeten zijn.

De domeinnaam heb ik al sind begin 2008 en eerst heeft daar een oscommercefork (xtcommerce) gedraaid.
Het is echter een dropship webshop dus ben onlangs overgestapt op Magento omdat deze flexibeler is om the synchen met de XML feed van de leverancier.
De overstap naar Magento was net gemaakt en sindsdien ook nog geen orders op binnengekomen omdat de laatste hand er aan wordt gelegd om de puntjes op de i te krijgen en trok nog nauwelijks bezoekers.
Legitiem verkeer is dus uitgesloten.

Als ik het log bestudeer zijn het ongeveer zo'n 70.000 hits per etmaal zeg maar effe grof gezegd elke seconde 1.

De 404 pagina wordt door Magento dynamisch gegenereerd en is ca 141,4k volgens Yslow in firefox.

@marsipulami
Inderdaad komen de meeste zombies uit azie, brazilië etc ik had dus ook al gedacht alleen toegang te verschaffen voor Nederland en een paar buurlanden zoals de ons omringende landen.
Ik had ook al gedacht dit via htaccess te doen maar weet niet of dat de juiste wijze is. Als ik het log in excel importeer en sorteer op ip adres dan komt de aanvraag van elk IP een keer of 4 a 5. en er is een hele waslijst aan ip adressen.

Is het ook mogelijk om via htaccess een 403 te geven op het opgevraagde bestand? dus ./images/abc.php?

[Wynand]

Als ie op je eigen VPS draait, installeer CSF en blokkeer landen gewoon daarin met de landcode, iets makkelijker. Denk niet dat je veel serieuze klanten in amerika gaat vinden in nederlandse erotica webshops.

[Herbert]

Wat ik zo lees krijg je veel aanvallen uit Zuid Amerika
Het beste is om CSF te installeren en ook mod_evasive
In CSF kun je complete landen blokkeren maar dat heeft niet altijd nut omdat deze van een lijst gebruikt maakt waar niet alle IP adressen opstaan.
Wat wel helpt is in CSF het CIDR adres blokkeren, hiermee blokkeer je hoofdzakelijk de providers waar de ddos vandaan komt.
Helaas kan CSF nog niet automatisch CIDR blokkeren, je zult de IP adressen uit je logfiles moeten halen en dan het CIDR adres handmatig in de drop moeten gooien.
Ik heb deze oplossing gebruikt bij een server van iemand anders die al meer dan 2 maanden regelmatig onder vuur lag.
Hiervoor had ik van alles geprobeerd en niets was afdoende, het bovenstaande was de oplossing.

[vDong]

De domeinnaam heb ik al sind begin 2008 <KNIP
Legitiem verkeer is dus uitgesloten.

Ok, ik vroeg het voor de zekerheid, bij domeinen overnemen (of herregisteren) kan dit namelijk gewoon dode links zijn.

Als ik het log bestudeer zijn het ongeveer zo'n 70.000 hits per etmaal zeg maar effe grof gezegd elke seconde 1.

De 404 pagina wordt door Magento dynamisch gegenereerd en is ca 141,4k volgens Yslow in firefox.

Dat is best pittig.

Is het ook mogelijk om via htaccess een 403 te geven op het opgevraagde bestand? dus ./images/abc.php?

Dat is zeker mogelijk, via een Files directive:

<Files "abc.php">
Order allow,deny
Deny from all
</Files>

Zie ook:
http://httpd.apache.org/docs/1.3/mod/core.html#files

[Nautica]

Dat is zeker mogelijk, via een Files directive:

<Files "abc.php">
Order allow,deny
Deny from all
</Files>

Wat heeft dat verder voor effect op de server? Dit is waarschijnlijk minder belastend voor de server dan een 404 genereren kan ik me zo voorstellen.

[Nautica]

Er is trouwens een PDF met handige tips van de overheid op GOVCERT.NL over DDoS voor de geinteresseerden die kunnen het hier downloaden:
http://www.govcert.nl/download.html?f=59

Hierin staat o.a.

Het is onmogelijk om alle IP-spoofing tegen te gaan. Daarom is het noodzakelijk
om de kans op IP-spoofing zoveel mogelijk te verkleinen. Via een aantal antispoofing
mechanismen is het mogelijk om RFC1918 IP-adressen en IP-blokken die
door IANA nog niet zijn uitgedeeld aan een LIR te blokkeren

[Jesperw]

Ik zie dit soort dingen veel de laatste tijd. Met name dingen als wordpress sites hebben bepaalde bestanden waar soms vanaf heel de wereld naartoe wordt ge-POST. Dat kun je limiten, maar dan gaat de site stuk.

[PreServer]

Als je niet wil limiteren of moeilijk wil doen kan je ook gewoon die pagina maken en leeg laten, dan gebruikt het amper resources en wacht je gewoon tot ze het opgeven.

[Nautica]

Als je niet wil limiteren of moeilijk wil doen kan je ook gewoon die pagina maken en leeg laten, dan gebruikt het amper resources en wacht je gewoon tot ze het opgeven.

je bedoeld in de map images gewoon een bestand genaamd abc.php en verder leeg laten?

[mdvz0r]

Als je niet wil limiteren of moeilijk wil doen kan je ook gewoon die pagina maken en leeg laten, dan gebruikt het amper resources en wacht je gewoon tot ze het opgeven.

Als ze maar genoeg requests tegelijk doen heeft zelfs dat geen zin meer.. Maar het is wel het proberen waard idd..

[PreServer]

je bedoeld in de map images gewoon een bestand genaamd abc.php en verder leeg laten?

Yup

eventueel kan je er een scriptje in zetten wat gelijk het ip (of de range) blokeert op je server met iptables oid