Виды DDoS и методы противодействия Опции

[MHN]

Виды DDoS и методы противодействия

Хоть скриншоты бы повставляли для большей информативности (IMG:style_emoticons/default/smile.gif)
Почему не указан список используемых при перепечатке ресурсов, копирайты?

пример: http://www.compdoc.ru/secur/xacer/what_is_ddos_attack/

[ENELIS]

Зависит от атаки, если 40 гбит/с будет выгонят без вопросов.

[Peter B. Pokryshev]

Думаю на данный момент библией по DDoS можно считать данную книгу:
Internet Denial of Service: Attack and Defense Mechanisms

Среди авторов такие гуру как
Dave Dittrich

[alpha_Qu4z4r]

Интересно. А перевода, как я понимаю, не существует?

Хотя нашёл что-то похожее http://eprints.isofts.kiev.ua/427/1/%231_D93-c579.pdf
Оно или не оно?

Сообщение отредактировал alpha_Qu4z4r - 10.12.2010, 18:21

[Peter B. Pokryshev]

Интересно. А перевода, как я понимаю, не существует?

Не видел, но если Вы читаете техническую литературу по английски то там многое будет понятно.
Не знаю как сейчас, но 5 лет назад в интернете по-русски никакой более менее серьезной информации не было. А в этой книге 400 страниц - все темы по полочкам разложены.

Хотя нашёл что-то похожее http://eprints.isofts.kiev.ua/427/1/%231_D93-c579.pdf
Оно или не оно?

Не оно - там наши авторы.

[alpha_Qu4z4r]

Читаю, но пока с большим трудом и стараюсь всегда найти русскую доку, поскольку понять её гораздо проще.

[eSupport.org.ua]

(January 9, 2005)

Старье, место в помойке
Сейчас делают такие атаки, про которые тогда вообще не подозревали

[Viktorich]

Зависит от атаки, если 40 гбит/с будет выгонят без вопросов.

для начала, будут долго искать, кого ддосят...

[Mik-]

(January 9, 2005)

Старье, место в помойке
Сейчас делают такие атаки, про которые тогда вообще не подозревали

+1

[ENELIS]

для начала, будут долго искать, кого ддосят...

Ничего не долго, 30 минут/1 час и кого ддосят вычисляют.
На нас дважды падало, сначала 40 гбит/с, затем 100 гбит/с, до сих пор не включили нам наши услуги в полной мере, хотя денюжку требуют за все, хотя по договору, они нам должны.

[Peter B. Pokryshev]

(January 9, 2005)

Старье, место в помойке
Сейчас делают такие атаки, про которые тогда вообще не подозревали

А Вы кто такой? Меня умиляют юнцы которые такое заявляют.
Читать Вы видимо не умеете:
http://staff.washington.edu/dittrich/
короче без комментариев.

[Admin]

А Вы кто такой? Меня умиляют юнцы которые такое заявляют.

"Юнец" - автор и архитектор системы распределенной защиты, к которой подключено уже несколько хостеров. Но это большой роли не играет, потому как наличие любого мнения, отличного от собственного - совсем не повод для агрессии.

А в предверии Нового года - это вообще плохая примета (IMG:style_emoticons/default/smile.gif). Давайте просто свободно высказывать свое мнение и отстаивать его аргументами, а не атаками на личность оппонентов. Ок?

[Peter B. Pokryshev]

"Юнец" - автор и архитектор системы распределенной защиты, к которой подключено уже несколько хостеров. Но это большой роли не играет, потому как наличие любого мнения, отличного от собственного - совсем не повод для агрессии.

А в предверии Нового года - это вообще плохая примета (IMG:style_emoticons/default/smile.gif). Давайте просто свободно высказывать свое мнение и отстаивать его аргументами, а не атаками на личность оппонентов. Ок?

ОК. Просто уважающий себя человек, если он занимается защитой, не будет ставить рядом слова помойка и Dave Dittrich.

[eSupport.org.ua]

Peter B. Pokryshev, пожалуйста перечитайте мой ответ еще раз.
А то я в последнее время наблюдаю проблемы со зрением у многих посетителей форума
Один путает слово "книга" с "Dave Dittrich", другой "защиту" с "переездом"

[Peter B. Pokryshev]

Peter B. Pokryshev, пожалуйста перечитайте мой ответ еще раз.
А то я в последнее время наблюдаю проблемы со зрением у многих посетителей форума
Один путает слово "книга" с "Dave Dittrich", другой "защиту" с "переездом"

Лично у меня есть некое уважение к людям которые старше меня, либо понимают в теме больше меня, и я никогда не позволю себе называть книгу в 400 страниц достойной помойки. Человек занимался DDoS когда лично у меня еще не было компа... Возможно Вы гений и тогда Пётр удалит моё сообщение.
Но Цукерберг появляется не так часто и тем более здесь на форуме.

[eSupport.org.ua]

Ну давайте еще на книжку Norton Ultilites помолимся?
И кроме того, я говорил не за книгу вообще, а за ее вариант в 2005 году. Кому интересна книга 5-и летней давности?

[Peter B. Pokryshev]

Ну давайте еще на книжку Norton Ultilites помолимся?
И кроме того, я говорил не за книгу вообще, а за ее вариант в 2005 году. Кому интересна книга 5-и летней давности?

ОК. Понятно что Вы её не читали. Как Вы знаете DDoS - это крупная область в сфере защиты информации.
"Кому интересна книга по математике 5-ти летней давности?" Ну-ну продолжайте - я посмеюсь...

[eSupport.org.ua]

Элементарная математика зародилась в 5-ом веке до нашей эры.
Интернет - в 1969 году.
Так что смеюсь в данном случае я. Над дилетантской попыткой передергивания.

Где edogs пропали? Вот они умели...

[ENELIS]

Петр, ддос сегодня это не те детские игрушки 5летней давности.
Это профессиональные разработки с полным спуффингом, где ботов отличить от реальных людей без сбора статистики НЕРЕАЛЬНО. При этом боты и есть реальные люди, поэтому фильтровать полностью тоже нельзя.
Я не говорю про брутовый ддос гигабитами, с ним проще и яснее - перекрыл - сработало, нет, пролетел.

[Peter B. Pokryshev]

Петр, ддос сегодня это не те детские игрушки 5летней давности.

Вы действительно считаете что 5 лет назад это были игрушки и причем детские?
Вы имеете представление как работают такие тулзы как trinity, trinoo, TFN, shaft, stacheldraht?
А они были написаны около 10 лет назад и причем не детьми.

Это профессиональные разработки с полным спуффингом, где ботов отличить от реальных людей без сбора статистики НЕРЕАЛЬНО. При этом боты и есть реальные люди, поэтому фильтровать полностью тоже нельзя.
Я не говорю про брутовый ддос гигабитами, с ним проще и яснее - перекрыл - сработало, нет, пролетел.

"с ним проще и яснее" - (IMG:style_emoticons/default/laugh.gif)

[alpha_Qu4z4r]

Что Вы тут балаган устроили?
Лучше бы больше технических деталей, а не глупых пререканий описывали, всем было бы хотябы интересно почитать.

[ENELIS]

Петр в наше время все эти "олдскульные тулзы" отбиваются чаще всего на уровеня рутеров даже или в крайнем случае на уровне ядра, если есть широкий канал.
А когда сыпется 500 мбит/с легитимных запросов на http сервер !ожидающих ответа!, понимающих куки и в последнее время яваскрипт. Это Вам не deny udp from any to me 80 или drop на киске.
Я для отбивания этих ботов писал специальную программу, которая составляла карту посещений "пользователя" и учитывала, что он делает, за какой период, определяла сёрч-бот он или нет (самое сложное и опасное, для разглашения) и тогда уже блокировала его, если он ей не нравился, к сожалению, для нее надо много костылей. Но с ддосом до 900 мбит/с я не видел с ней проблем (на той же машине, хотел 10 гбит/с ставить, т.к. программа без проблем справлялась), хотя твикать постоянно приходится.

С UDP на DNS одна борьба пока что (кроме блока), атаку на DNS сервер левыми UPDATE UDP запросами, через TCPdump вычислил самый частые IP сбором статистики за минуту, а потом позвонил апстриму - Globalcrossing, через час атака уменьшилась в 10 раз (с ~110 до 13 мбит, что практически не заметно для сервера).

Сообщение отредактировал ENELIS - 12.12.2010, 19:08

[eSupport.org.ua]

Я таких ботов в целях эксперимента решил капчей отвадить
Так они стали капчу пробивать, вероятно через antigate (IMG:style_emoticons/default/sad.gif)

[ENELIS]

В нашем случае капча была не вариант, да и подумали, что смогут индусам и китайцам на аутсурс автоматом слать.

[Peter B. Pokryshev]

С UDP на DNS одна борьба пока что (кроме блока), атаку на DNS сервер левыми UPDATE UDP запросами, через TCPdump вычислил самый частые IP сбором статистики за минуту, а потом позвонил апстриму - Globalcrossing, через час атака уменьшилась в 10 раз (с ~110 до 13 мбит, что практически не заметно для сервера).

Вот именно, атаки на канал нет смысла отбивать на уровне жертвы. Надо иметь нормальные связи с апстримами, чтобы они могли оперативно реагировать на Ваши обращения.

И потом 5 лет назад я проводил небольшое исследование зависимости нагрузки на сервер от кол-ва ipfw правил (не ipfw2, без таблиц) и кол-ва пакетов в секунду.
Получилось что при трафике 3000-5000 пак/сек получалось что сервер по нагрузке нормально держит около 1000 правил ipfw, а если больше, то сервер загибается от большого кол-ва правил. Сысоев например не рекомендует вообще использовать пакетные фильтры на загруженном сервере, т.к. цена обработки пакета для системы получается очень дорогой. В качестве альтернативы Сысосев предлагает использовать таблицу маршрутизации.

[ENELIS]

Да, можно route blackhole делать, но это не так же четко как срывать UDP only.
Пользовались ipfw2 на FreeBSD 8.0 (с SMP поддержкой сетевух) на свободном 8ми ядерном ксеоне от Sun. Справлялся.

[Faggo]

Ddos могут позволить не многие, очень дорогое удовольствие, так что не пздите!

[tarum]

Щас стоит бояться не столь атаки, сколько того, что просто канал по ширине забивают. Юзайте qrator за 16к 1гбит трафа (белого) фильтруют. Прекрасно справляются. А если самим, то покупать надо циски, джуники и делать комплекс на клаудах. ЧТо выйдет куда дороже чем те же 16к за гбит белого фильтра.