DDoS напад

[Oktar]

@D

Логови, анализирајте ги. Мора да има патерн на ботнетот, ако веќе CF има пропуст и трафикот завршува кај вас директно во сервер има повеќе начини да се митигира.

Она најосновното е секако IPTables, nat, raw, mangle. Сепак треба да се анализираат логовите и да се изготват ACL.

Има услови кога IPT од Х причини не е опција. Хард кор пристап е со користење на hosts.allow/hosts.deny. Илити TCP Wrappers

Ова е многу рудиментарен алат ама исто така и многу ефикасен. Повторно логови, скрипта изработена со цел да ги „фаќа“ валидните request-и на апаче/нгих (пример директно од/var/log и да ги додава во листите. За еден/два дена ќе бидат комплетирани. Секој ботнет има лимит на хостови, а кога ќе се види патерн-от уште полесно.

Нормално се користат wildcards за додавање цели блокови на адреси.

Тоа е пример за hosts.allow, додека hosts.deny бара повеќе работа и подолго време за да се комплетира листата.

Откако ќе се комплетираат двете листи се пишува/копира скрипта да се ставаат во функција само кога има DDoS напад.

Сето ова со помош и на netstat. Скрипта чита SYNC_REC секоја минута, ако има навалица пали заштита.
netstat -n -p | grep SYN_REC
На пример

Има безброј сценарија, стварно ова е тресење од ракав пошто може ништо од ова да неважи ако хостингот е на IIS (недај боже).

И до кога ќе блокираш ајпи адреси? Еве да речеме дека мојот персонален сметач дома е заразен и дел од ботнет мрежата која го извршува нападот. Ок, ќе ме блокираш, за 24 часа имам нова адреса, па нова па нова и така секој ден. А блокираните адреси наредните денови одат кај корисници кои врска немаат со нападот а поради мене се спречени да пристапат до форумот. Што би рекле кавадарчани: не е воа буцни прачка пиј вино, станува збор за валидни риквести и валиден трафик... проблем е обемот.

 

[D]

Последниве три поста се постови кои одликуваат на ИТ форум - независно кој е во право и што е точно од кажаното, дискусијата е важна.
tnx @ARMac @gdamjan @Oktar за придонесот

 

[marv]

Еве да речеме дека мојот персонален сметач дома е заразен и дел од ботнет мрежата која го извршува нападот.

Ма се опаметија и ддосериве, Скоро никогаш локални машини и ИП-а не се дел од бот мрежата која напаѓа одреден сервер. Така најлесно МеВеРе-то ќе им влезе у траг.

Ок, ќе ме блокираш, за 24 часа имам нова адреса, па нова па нова и така секој ден. А блокираните адреси наредните денови одат кај корисници кои врска немаат со нападот а поради мене се спречени да пристапат до форумот.

Абе ако правиш ненормален трафик има да пијеш бан макар 12-24часа, па ако сака највалидно од председникот да е ИП-то.

Што би рекле кавадарчани: не е воа буцни прачка пиј вино, станува збор за валидни риквести и валиден трафик... проблем е обемот.

Значи валидни риквести, валиден трафик со невалиден обем. Одма лети на бан барем 12-24часа. После ќе видиме.

независно кој е во право и што е точно од кажаното, дискусијата е важна.

Да ви преведам дечки, прајте си вие муабет и нагаѓајте си, пошто не можеме детално ништо да кажеме сега за сега.

 

[ARMac]

И до кога ќе блокираш ајпи адреси? Еве да речеме дека мојот персонален сметач дома е заразен и дел од ботнет мрежата која го извршува нападот. Ок, ќе ме блокираш, за 24 часа имам нова адреса, па нова па нова и така секој ден. А блокираните адреси наредните денови одат кај корисници кои врска немаат со нападот а поради мене се спречени да пристапат до форумот. Што би рекле кавадарчани: не е воа буцни прачка пиј вино, станува збор за валидни риквести и валиден трафик... проблем е обемот.

Па не како заштита од ДДос него да си митигира leak-от што го прави CloudFlare. Додека трае нападот, после тоа скриптата ги гаси листите.

Сум кажал и во друга тема, јас по природа на работата не сум стручњак за вебсајтови и јавни сервиси . Кај нас тимот е задолжен да се спречи прво, па после да се пушти што е сигурно.
Deny then allow, тоа е секогаш така ради осетливоста на податоците.

Знам дека така не размислуваат тие што работат на овие работи. Веб сајтови и слично.

tcpwrappers не се користи веќе некое време и е deprecated

iptables исто така не им помагаат во случајов со форумов, пошто сообраќајот доаѓа од CloudFlare

Како не се користат кога еве јас ги користам. Трендот нека го следи тој што сака.

Не доаѓа трафикот од CloudFlare него CF го пропушта.

 

[Futurelakimens]

Па не како заштита од ДДос него да си митигира leak-от што го прави CloudFlare. Додека трае нападот, после тоа скриптата ги гаси листите.

Сум кажал и во друга тема, јас по природа на работата не сум стручњак за вебсајтови и јавни сервиси . Кај нас тимот е задолжен да се спречи прво, па после да се пушти што е сигурно.
Deny then allow, тоа е секогаш така ради осетливоста на податоците.

Знам дека така не размислуваат тие што работат на овие работи. Веб сајтови и слично.



Како не се користат кога еве јас ги користам. Трендот нека го следи тој што сака.

Не доаѓа трафикот од CloudFlare него CF го пропушта.

Од CF доаѓа, CF е reverse proxy. Во овој случај, го пропушта значи дека не ги блокира, и му дозволува да стигне до вебсајтот. Значи го пропушта, ама ипак доаѓа од CF сервери. Но CF праќа друг хедер во реквестот кој ја содржи оригиналната IP адреса во X-Forwarded-For хедерот. Имаат инструкции како да ја направиш оваа интеграција на серверот и да ги чита apache (пример) оригиналните IP адреси.

https://support.cloudflare.com/hc/en-us/articles/200170786-Restoring-original-visitor-IPs

Ако се користи блокажа преку PHP, како што знам може да го преземеш хедерот од реквестот директ.

Сигурно ви е пробано, ама ако имате анализа на просек на реквести шо ги праќа една ИП адреса во минута(може да се најде просек од колку и логс да имате од апаче како шо посочиа погоре), може да ставите поагресивен лимит, пример на 200 реквести во 10 секунди (гледам дека овој пејџ има 80 реквести)

Исто може да се провери каков трафик стига, и ако треба да се блокира нешто целосно, пример UDP не е потребно за да функционира вебсајт

 

[gdamjan]

Ако се користи блокажа преку PHP, како што знам може да го преземеш хедерот од реквестот директ.

тогаш е веќе касно, не

Мислењето е автоматски споено: 28 јули 2022

Како не се користат кога еве јас ги користам. Трендот нека го следи тој што сака.

се трга подршка за tcpwrappers од програмите. плус има сериозни недостатоци (едно време имаше и некој exploit).
пребаци се на iptables (т.е nftables) шо поскоро.

ps.
во Arch, Required By 3 пакети. те. реално само steam-native-runtime

Arch Linux - libwrap 7.6.31-4 (x86_64)

archlinux.org

за другите дистроа не е лесно да се извади ваква статистика

 

[Futurelakimens]

тогаш е веќе касно, не

Касно е али мојја логика е подобро некогаш отколку никогаш, пример во PHP можеш да повикаш API со IP адресата, пример да пратиш на proxycheck.io и да блокираш на база на тоа. Секако не го препорачувам ова пошто нонстоп сум на ВПН јас, ама во критични ситуации може да помогне.

 

[D]

Ова како на митинг кога лажат дека има 100к-200к. Од тие 30к колку се активни тука, 50-тина? И сега ти оваа заедница ќе ја критикуваш што бесплатно не ви помага?

Мислењето е автоматски споено: 28 јули 2022

Ако другите членови не ја виделе темата, статистика на темава е споделена тука.

 

[D]

Дали некој забележа проблеми во последните три дена со отворање на IT.mk?
Секојдневно има DDoS напади - во последните три дена повеќе од 320М requests се дел од нападот.

 

[NecrotoX]

Дали некој забележа проблеми во последните три дена со отворање на IT.mk?
Секојдневно има DDoS напади - во последните три дена повеќе од 320М requests се дел од нападот.

Јас немав проблеми.

 

[kolesk]

Замисли да имаше 300М членови форумов. Ќе се дебатираше увелико.

 

[Lokvan]

Дали некој забележа проблеми во последните три дена со отворање на IT.mk?
Секојдневно има DDoS напади - во последните три дена повеќе од 320М requests се дел од нападот.

Не во последниве неколку денови.

 

[D]

Не во последниве неколку денови.

Ете ја разликата кога Cloudflare ке работи и кога нема да работи - со апсолутно исти сетинзи на секое ниво.

 

[alek99]

Точно, во последните три ама баш никаков проблем, пред тоа беше така-така.

 

[Oktar]

Мене преку ВПН цело време ми прави верификација, као скоро на секој клик. Ама кој ме е*аа мене, битно другиве нека се среќни, што се жалат.

 

[D]

Мене преку ВПН цело време ми прави верификација, као скоро на секој клик. Ама кој ме е*аа мене, битно другиве нека се среќни, што се жалат.

Уште има challenge за outside traffic - што е многу подобро сценарио од целосен блок.

 

[Lokvan]

Претходно не можев ни наиндексот на подфорумот за известувања да му пристапам, листата на надгледувани теми до некаде доаѓаше и застануваше со клаудфлер пораката за недостапен хост. Па на пар минути малку ќе станеше респонзивно, и за кратко време пак паѓаше.

Ова сега во моментов е сосема ок од аспект на корисничко искуство.

 

[Oktar]

Уште има challenge за outside traffic - што е многу подобро сценарио од целосен блок.

Еј да, и неможе да се причуваат фајлови преку ВПН. т.е. се аплоадира, ама ги нема дугмињата за прикажи голема/мала слика.

 

[marv]

И Тапаток де работи де не.

Sent from my SM-A505FN using Tapatalk

 

[Futurelakimens]

Мене преку ВПН цело време ми прави верификација, као скоро на секој клик. Ама кој ме е*аа мене, битно другиве нека се среќни, што се жалат.

и јас сум често на ВПН, еве моментално сум ама си влегов нормално

 

[lynx]

Мене преку ВПН цело време ми прави верификација, као скоро на секој клик. Ама кој ме е*аа мене, битно другиве нека се среќни, што се жалат.

Сега знаеш како ни е на нас иселениците.

 

[D]

Сега знаеш како ни е на нас иселениците.

Ако имаш статична IP адреса - пиши ми ПП.
Истото важи и за сите што се надвор, имаат статична IP и CF ги малтретира.

 

[noc32]

Последниве три дена кај мене е супер. Иницијалното лоадирање на страната е малку поспоро ама после се е океј.

 

[Oktar]

И со Ајфонот проба и пак те за*бава ??? Немогуче ...

Nope, на iPhone, it just works, I have no idea how...

 

[Futurelakimens]

Nope, на iPhone, it just works, I have no idea how...

Можам да потврдам, прегеска од MacBook на исти ВПН и иста држава, се си беше океј, сеа од Linux PC ме провери CF...