Logowanie adresów IP atakujących maszyn

[t4t4v4 3]

Hej,

jakie znacie sposoby na logowanie adresów IP z których przeprowadzany jest DDoS?

[Gość patrys]

tcpdump ?

[t4t4v4 3]

Faktycznie

[blazej.miga 6]

hej

 

Aby zbierać informacje o DDoSie to potrzeba:

- skonfigurować zrzutkę flow'ów na routerach

- zainstalować kolektor netflow'ów np. http://nfdump.sourceforge.net/

i jakis programik do obróbki danych np. http://nfsen.sourceforge.net/

 

przy zbieraniu danych tcpdump'em nie nadążysz w dokładaniu dysków, aby zebrać dane z ataku

 

[t4t4v4 3]

Błażej, dzięki za naprowadzenie na konkretniejsze metody

Aktualnie testuję rozwiązanie ze zbieraniem danych tcpdumpem z maks. 1 000 000 pakietów (plik zrzutu nie zajmuje dużo, a mam większość adresów). Dodatkowo zrzucam tylko pakiety UDP, które idą w stronę mojego serwera.

Edytowano Wrzesień 15, 2013 przez Avatat (zobacz historię edycji)

[theONE 526]

Ale w pakietach UDP masz małą pewność że adresy źródłowe są prawdziwe...

[t4t4v4 3]

Wiem to, ale czy masz lepszy sposób na logowanie adresów, które takimi pakietami wysycają łącze?

[theONE 526]

no ale to bez sensu, ta informacja ma zerowa wartosc zarowno z punktu widzenia obrony jak i ustalenia sprawcow

 

masz kasze losowych adresow IP i co dalej?

[t4t4v4 3]

Mogę odrzucać te adresy na zewnętrznym firewallu i dodatkowo spróbować zgłosić nadużycie u danego operatora. Chyba, że to zły sposób na walkę z prymitywnymi atakującymi..

Edytowano Wrzesień 15, 2013 przez Avatat (zobacz historię edycji)

[chmuri 89]

To może od razu wytnij sobie cały internet bo takie wycinanie jest bezsensu.

[blazej.miga 6]

Ale w pakietach UDP masz małą pewność że adresy źródłowe są prawdziwe...

 

Przy SYNFlood'zie adresy źródłowe są tyle samo warte co przy atakach UDP

 

Jeśli masz kumatego/chętnego do współpracy operatora wycinaj ruch UDP na jego urządzeniach.

 

Pozbędziesz się połowy problemów z DDoS'ami .

 

 

Edytowano Wrzesień 15, 2013 przez blazej.miga (zobacz historię edycji)

[HaPe 242]

W obecnych czasach cięcie po AS rzadko coś daje. Czekamy na ataki po IPv6

[zoxovsky 9]

W obecnych czasach cięcie po AS rzadko coś daje. Czekamy na ataki po IPv6

 

Tak wgl. to kiedy ma wejść w życie internet z adresacją IPv6 ?

[Marek607 655]

@up

Już jest od kilku lat.

[theONE 526]

W TCP jest większy cień szansy że źródłowe istnieją bo wieksza ilość dostawców sprawdza czy adresy z których cokolwiek wychodzi są poprawne. Wycinanie ataków powyżej 50 Mbit/s musi robić już operator na serwerze możbna próbować coś logować.

[Gość patrys]

Ale tylko cień, bo gdy dostaje się rozproszone synfloody to nie jest lekko, a wbrew pozorom 50Mb/s takiego ataku dla zwykłego serwera/pojedynczej karty sieciowej to dużo.

Ostatnio najczęstszym atakiem jest SYN flood/GET flood i filtrować to można jedynie przed serwerem, a nawet ciężko logować na serwerze.

[Adrian Janeczek 0]

Ja osobiście polecam NTOP

http://www.ntop.org

[Pan Kot 1535]

Ja osobiście polecam NTOP

http://www.ntop.org

 

Który ora Ci 100% cpu przy jakimkolwiek większym ddosie.

Również polecam... na xeony.