Comments 66
Вариантов куча, можно задать порт, тип подключений и т.д., смотря какие цели приследуем…
Если ддосят корень сайта, то я просто делаю вот так:
Второй запрос на корень, в течении 10 секунд, и ты попал в бан(-j DROP) на десять секунд, если за время (10 сек) еще раз обратился, то опять (-j DROP). И все. Серверу моментально легчает. ДаДа, знаю не хорошо «стрингами» пакеты сканить, но на время атаки на заданный урл это отличный способ, также я довольно много описывал у себя в блоге способов о защите. Конечно там не все что я знаю, но большая часть. И я не уверен что я использую оптимальные варианты, но мне хватает.
Всем удачи в борьбе с ддосерами!
iptables -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --set --name httpddos --rsource
iptables -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --update --seconds 10 --hitcount 2 --name httpddos --rsource -j DROP
Второй запрос на корень, в течении 10 секунд, и ты попал в бан(-j DROP) на десять секунд, если за время (10 сек) еще раз обратился, то опять (-j DROP). И все. Серверу моментально легчает. ДаДа, знаю не хорошо «стрингами» пакеты сканить, но на время атаки на заданный урл это отличный способ, также я довольно много описывал у себя в блоге способов о защите. Конечно там не все что я знаю, но большая часть. И я не уверен что я использую оптимальные варианты, но мне хватает.
Всем удачи в борьбе с ддосерами!
Спасибо за пост, как раз актуально для меня. В избранном.
+
iptables -A INPUT -m geoip --source-country PK,KZ,IN,CN,BR,EG,PL,TH,VN,ID,AR,MX,KR,TR,RO -j REJECT
iptables -A INPUT -m geoip --source-country PH,DZ,IR,MA,MY,PE,RS,SA,HK,JP,SG,IL,CL,NG,TW -j REJECT
iptables -A INPUT -m geoip --source-country CO,AR,JO,SN,NP,IN,UG,LA,SA,LY,MG,JM,SD,DO,TO -j REJECT
iptables -A INPUT -m geoip --source-country CR,KW,FJ,SN,NI,HN,EC,PS,CL,ZA,VN,BO -j REJECT
Как раз азия + африка.
iptables -A INPUT -m geoip --source-country PK,KZ,IN,CN,BR,EG,PL,TH,VN,ID,AR,MX,KR,TR,RO -j REJECT
iptables -A INPUT -m geoip --source-country PH,DZ,IR,MA,MY,PE,RS,SA,HK,JP,SG,IL,CL,NG,TW -j REJECT
iptables -A INPUT -m geoip --source-country CO,AR,JO,SN,NP,IN,UG,LA,SA,LY,MG,JM,SD,DO,TO -j REJECT
iptables -A INPUT -m geoip --source-country CR,KW,FJ,SN,NI,HN,EC,PS,CL,ZA,VN,BO -j REJECT
Как раз азия + африка.
А те обычные пользователи вроде меня, что живут в Азии, как попадут на ваш сайт?
Из-за таких «умников» регулярно приходится использовать прокси.
Из-за таких «умников» регулярно приходится использовать прокси.
Да, видел я такие сайты: из Азии меня не пускают, при попытке перезагрузить страницу банят на сутки, если страница медленно загружается — отваливается коннект, и т. п.
Если уж делаете такие радикальные меры, отсекающие реальных пользователей, то потом хотя бы отключайте их, когда атака закончится.
Если уж делаете такие радикальные меры, отсекающие реальных пользователей, то потом хотя бы отключайте их, когда атака закончится.
Можно еще apache за nginx спрятать.
Честно говоря, статья ни о чем. Если поток превышает емкость канала (до сервера, до роутера, до ДЦ), то никакие тюнинги ОС и прятанье apache за nginx не помогут.
Согласен, но это уже малость другой и особый случай. Который не такт часто возникает, в сравнении с HTTP Flood
По нашему опыту, как раз HTTP flood — это «детский» и нечасто возникающий DDoS, с которым бороться-то дело добровольное. В большинстве случаев нормально настроенный сервер сам справится.
А вот когда идет поток в 300-400 мегабит и 20-30к пакетов в секунду — тут только аппаратные решения в виде пропускания трафика через тот же Cisco Guard.
А вот когда идет поток в 300-400 мегабит и 20-30к пакетов в секунду — тут только аппаратные решения в виде пропускания трафика через тот же Cisco Guard.
Зачем нужен "/1" в cron?
собираем кол-во подключений каждую минуту
очередная статья на тему самоделкина-защитника от ддос. таких статей в интернетах уже тысячи. обычно ещё любят писать про ipset, но тут, похоже, автор поленился/ниасилил…
Дизайн у сайта из статьи вырви глаз.*
*offtop
*offtop
--string «GET / HTTP» отнюдь не бесплатен хоть и работает в контексте ядра.
Какое-то слабенькое описание. И DDoS'ы какие-то тоже слабые (в смысле, если у вас сервер способен что-то из крона запустить, значит DDoS не настоящий, или каналы слабые).
забавляет, когда пишут про Cisco Guard, считая этот девайс панацеей от DDoS, при этом ни разу не видев его… молчу, что он уже как год end of sale.
Последний релиз софта был выпущен 13/NOV/2009… нужно ли говорить, что с тех пор много воды утекло?
Последний релиз софта был выпущен 13/NOV/2009… нужно ли говорить, что с тех пор много воды утекло?
А вы что предложите?
TippingPoint не вариант?
Программно-аппаратный комплекс Kaspersky DDoS Prevention, например. На редкость эффективная штука…
Широкие каналы, хороший бордер рутер способный фильтрануть UDP флуд в 17 гбит, дроп на UDP/ICMP в случае атаки.
Что еще?
Если больше 17 гбит — don't bother just nullroute. Больше трех дней канальщики не позволят лить такой траффик к Вам.
Что еще?
Если больше 17 гбит — don't bother just nullroute. Больше трех дней канальщики не позволят лить такой траффик к Вам.
Если больше 17Gbps — добро пожаловать к нам. Именно поэтому построили распределенную сеть, не завязанную на одного оператора.
Да это и самому можно с anycast сделать, если уж так надо. РАЙП без проблем выделит IP под цели мультипиринга, что в anycast необходимо.
попробуйте и сделайте. откроете для себя много нового и интересного: например про петли в bgp.
ну и потом, если все так просто и чудесно — делайте. нам будет интересно.
В планах, если кто закажет услугу. Ясно что это не стоит 500 евро в месяц, а как минимум 15к евро в месяц, чтобы 3-4 локации очистить от левого траффика, грубо говоря 30-40 гбит без проблем снять.
ну а вот теперь представьте себе качество услуги если первый клиент — он-же бета тестер.
да еще не за 500 евро а за 100500.
считаете нормальная практика когда он и услугу и R&D оплачивает, да еще и тестировщик?
знаю отличный пример создания такой услуги в «укртелекоме». где-то в архиве хабра лежит статейка как они за 100500M евро ЦОТ строили.
какая здесь экономическая целесообразность?
а ведь ЦОТ не только построить надо, он должен еще и развиваться и масштабироваться.
а это сколько стоить будет? и пойдет-ли заказчик-ангел на такие расходы?
есть некоторая разница в «knowing the way» и «walking the way». и это замечательно.
P.S. июнем прошли марку в 56Gbps. выстояли, пусть и с 5 минутной заминкой.
да еще не за 500 евро а за 100500.
считаете нормальная практика когда он и услугу и R&D оплачивает, да еще и тестировщик?
знаю отличный пример создания такой услуги в «укртелекоме». где-то в архиве хабра лежит статейка как они за 100500M евро ЦОТ строили.
какая здесь экономическая целесообразность?
а ведь ЦОТ не только построить надо, он должен еще и развиваться и масштабироваться.
а это сколько стоить будет? и пойдет-ли заказчик-ангел на такие расходы?
есть некоторая разница в «knowing the way» и «walking the way». и это замечательно.
P.S. июнем прошли марку в 56Gbps. выстояли, пусть и с 5 минутной заминкой.
Почему бета-тестер? Локальная система готова фильтровать 17 гбит, можно либо локально ее размножить либо через anycast в мире, что логичнее, чем переплачивать за международный траффик дома.
Поставить в 5-10 IX по миру и фильтровать нужно будет уже в пределах 10 гбит, что дешевле.
А насчет 15000 евро — имхо это реальная стоимость услуги защиты от любой угрозы, меньше — это просто несерьезно (ну разве что посадить десяток проблемников и молиться чтобы 3-4 ботнета-миллионника разом не ударили).
Поставить в 5-10 IX по миру и фильтровать нужно будет уже в пределах 10 гбит, что дешевле.
А насчет 15000 евро — имхо это реальная стоимость услуги защиты от любой угрозы, меньше — это просто несерьезно (ну разве что посадить десяток проблемников и молиться чтобы 3-4 ботнета-миллионника разом не ударили).
Отдать на откуп специалистам: услуга у оператора/хостера или специализированного сервиса.
Если ознакомиться с прайсом многих сервисов, то окажется, что цена вопроса минимальна (в контекте того ddos который вы описали).
Промышленное решение на стороне клиента — бессмысленно! Поэтому и рассматривать их не стоит.
Как совет, вне зависимости от того существует ли потенциальная опасность быть атакованным или нет, на этапе выбора хостера или оператора смотрите на тех, кто предоставляет услуги по фильтрации трафика, как минимум вам не нужно будет переезжать в другой ДЦ и это позволит сократить вам время подключения к услуге.
А все что вы описали выше + еще 1001 метод защиты неплохо знать в качестве общеобразовательной программы от совсем легкого флуда.
Если ознакомиться с прайсом многих сервисов, то окажется, что цена вопроса минимальна (в контекте того ddos который вы описали).
Промышленное решение на стороне клиента — бессмысленно! Поэтому и рассматривать их не стоит.
Как совет, вне зависимости от того существует ли потенциальная опасность быть атакованным или нет, на этапе выбора хостера или оператора смотрите на тех, кто предоставляет услуги по фильтрации трафика, как минимум вам не нужно будет переезжать в другой ДЦ и это позволит сократить вам время подключения к услуге.
А все что вы описали выше + еще 1001 метод защиты неплохо знать в качестве общеобразовательной программы от совсем легкого флуда.
ну да, около 650 тысяч рублей за действительно эффективную защиту:
soft.softline.ru/kaspersky/kaspersky-ddos-prevention/
soft.softline.ru/kaspersky/kaspersky-ddos-prevention/
От легкого флуда также неплох CSF + LFD.
Был такой широко известный в узких кругах персонаж, Николай Федотов. Так вот он любил говорить, что лучший способ защиты от DDoS-атак — не хамить в чатах. Не такой уж плохой совет, если подумать.
«или у вас десятки (а то и сотни) серверов, и Вы не успеваете физически “мониторить” их все» — а автоматизировать мониторинг нельзя?
Такой способ хорош для DoS, а не DDoS.
Если у злоумышленника тыква вместо головы, как показано на рисунке, то да, эти методы помогут.
«Используйте директиву MaxClients» — вы сделаете так, что ваш сайт будет недоступен. что и хотят злоумышленники.
fail2ban забыт, вместо него используются дибильные велосипеды.
habrahabr.ru/blogs/personal/71694/ здесь умнее и больше. :)
«Используйте директиву MaxClients» — вы сделаете так, что ваш сайт будет недоступен. что и хотят злоумышленники.
fail2ban забыт, вместо него используются дибильные велосипеды.
habrahabr.ru/blogs/personal/71694/ здесь умнее и больше. :)
1. mod_evasive — (mod_dosevasive)
дальше можно не читать.
дальше можно не читать.
Sign up to leave a comment.
Методы борьбы с DDoS-атаками