How to become an author
Search
Write a publication
Pull to refresh

Comments 66

UFO just landed and posted this here
Вариантов куча, можно задать порт, тип подключений и т.д., смотря какие цели приследуем…
Total votes 5: ↑2 and ↓3-1
Если ддосят корень сайта, то я просто делаю вот так:

iptables -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --set --name httpddos --rsource
iptables -A INPUT -p tcp -m tcp --dport 80 -m string --string "GET / HTTP" --algo kmp --to 1024 -m recent --update --seconds 10 --hitcount 2 --name httpddos --rsource -j DROP


Второй запрос на корень, в течении 10 секунд, и ты попал в бан(-j DROP) на десять секунд, если за время (10 сек) еще раз обратился, то опять (-j DROP). И все. Серверу моментально легчает. ДаДа, знаю не хорошо «стрингами» пакеты сканить, но на время атаки на заданный урл это отличный способ, также я довольно много описывал у себя в блоге способов о защите. Конечно там не все что я знаю, но большая часть. И я не уверен что я использую оптимальные варианты, но мне хватает.
Всем удачи в борьбе с ддосерами!
Total votes 27: ↑26 and ↓1+25
> также я довольно много описывал у себя в блоге способов о защите
…
# Enables source route verification
net.ipv4.conf.all.rp_filter = 1

— Скажите, зачем вы пишите вещи, в которых не разбираетесь?
Total votes 3: ↑2 and ↓1+1
UFO just landed and posted this here
А помойму это все есть в гугле. Да простит меня юзер, если это его авторский текст.
Но все же добавил в избранное, чтобы все было при себе.
Total votes 11: ↑4 and ↓7-3
Спасибо за пост, как раз актуально для меня. В избранном.
Total votes 6: ↑4 and ↓2+2
UFO just landed and posted this here
+

iptables -A INPUT -m geoip --source-country PK,KZ,IN,CN,BR,EG,PL,TH,VN,ID,AR,MX,KR,TR,RO -j REJECT
iptables -A INPUT -m geoip --source-country PH,DZ,IR,MA,MY,PE,RS,SA,HK,JP,SG,IL,CL,NG,TW -j REJECT
iptables -A INPUT -m geoip --source-country CO,AR,JO,SN,NP,IN,UG,LA,SA,LY,MG,JM,SD,DO,TO -j REJECT
iptables -A INPUT -m geoip --source-country CR,KW,FJ,SN,NI,HN,EC,PS,CL,ZA,VN,BO -j REJECT

Как раз азия + африка.
Total votes 8: ↑7 and ↓1+6
UFO just landed and posted this here
А те обычные пользователи вроде меня, что живут в Азии, как попадут на ваш сайт?
Из-за таких «умников» регулярно приходится использовать прокси.
Total votes 2: ↑1 and ↓10
UFO just landed and posted this here
Конечно лучше хоть как-то, чем никак, но не такими методами как вы там выше советуете: REJECT для всех кроме RU и UA.
This comment wasn’t rated yet0
UFO just landed and posted this here
UFO just landed and posted this here
Да, видел я такие сайты: из Азии меня не пускают, при попытке перезагрузить страницу банят на сутки, если страница медленно загружается — отваливается коннект, и т. п.

Если уж делаете такие радикальные меры, отсекающие реальных пользователей, то потом хотя бы отключайте их, когда атака закончится.
Total votes 3: ↑3 and ↓0+3
UFO just landed and posted this here
UFO just landed and posted this here
Но как инструмент, потом проще будет отбиваться
Total votes 1: ↑1 and ↓0+1
правильно настроенный nginx со своими скриптами-плюшками — одно из самых важных средств защиты от ддос'а.
Total votes 3: ↑3 and ↓0+3
Что за чушь? Еще как поможет.

return 444;

поможет нашему брату
This comment wasn’t rated yet0
Вроде это должно быть у всех сразу, без этого никуда сейчас =)
Total votes 5: ↑3 and ↓2+1
Честно говоря, статья ни о чем. Если поток превышает емкость канала (до сервера, до роутера, до ДЦ), то никакие тюнинги ОС и прятанье apache за nginx не помогут.
Total votes 13: ↑12 and ↓1+11
Согласен, но это уже малость другой и особый случай. Который не такт часто возникает, в сравнении с HTTP Flood
Total votes 2: ↑1 and ↓10
По нашему опыту, как раз HTTP flood — это «детский» и нечасто возникающий DDoS, с которым бороться-то дело добровольное. В большинстве случаев нормально настроенный сервер сам справится.

А вот когда идет поток в 300-400 мегабит и 20-30к пакетов в секунду — тут только аппаратные решения в виде пропускания трафика через тот же Cisco Guard.
Total votes 7: ↑7 and ↓0+7
С детским флудом и sslswamp'ом можно без особых напрягов полжить и нормально настроенный сервер, если на нём есть https без железного ssl ускорителя.
This comment wasn’t rated yet0
Привычка. Результат ни на что не влияет все равно.
Total votes 2: ↑2 and ↓0+2
собираем кол-во подключений каждую минуту
This comment wasn’t rated yet0
Если вы отвечали мне, то спрошу по другому: почему не "* * * * *", а "*/1 * * * *"?
Total votes 1: ↑0 and ↓1-1
можно и так, можно и раз в 5 минут.
This comment wasn’t rated yet0
очередная статья на тему самоделкина-защитника от ддос. таких статей в интернетах уже тысячи. обычно ещё любят писать про ipset, но тут, похоже, автор поленился/ниасилил…
Total votes 12: ↑4 and ↓8-4
Так напишите же толковую статью!
Total votes 10: ↑9 and ↓1+8
та я как бы не писатель, да и местные ограничения типа кармы не позволяют
Total votes 11: ↑1 and ↓10-9
и, похоже, так будет и дальше :)
This comment wasn’t rated yet0
Дизайн у сайта из статьи вырви глаз.*

*offtop
Total votes 4: ↑3 and ↓1+2
--string «GET / HTTP» отнюдь не бесплатен хоть и работает в контексте ядра.
Total votes 1: ↑1 and ↓0+1
Какое-то слабенькое описание. И DDoS'ы какие-то тоже слабые (в смысле, если у вас сервер способен что-то из крона запустить, значит DDoS не настоящий, или каналы слабые).
Total votes 8: ↑8 and ↓0+8
забавляет, когда пишут про Cisco Guard, считая этот девайс панацеей от DDoS, при этом ни разу не видев его… молчу, что он уже как год end of sale.
Последний релиз софта был выпущен 13/NOV/2009… нужно ли говорить, что с тех пор много воды утекло?
Total votes 4: ↑4 and ↓0+4
А вы что предложите?
Total votes 3: ↑3 and ↓0+3
Программно-аппаратный комплекс Kaspersky DDoS Prevention, например. На редкость эффективная штука…
Total votes 2: ↑1 and ↓10
Широкие каналы, хороший бордер рутер способный фильтрануть UDP флуд в 17 гбит, дроп на UDP/ICMP в случае атаки.
Что еще?
Если больше 17 гбит — don't bother just nullroute. Больше трех дней канальщики не позволят лить такой траффик к Вам.
Total votes 4: ↑4 and ↓0+4
Если больше 17Gbps — добро пожаловать к нам. Именно поэтому построили распределенную сеть, не завязанную на одного оператора.
This comment wasn’t rated yet0
Да это и самому можно с anycast сделать, если уж так надо. РАЙП без проблем выделит IP под цели мультипиринга, что в anycast необходимо.
This comment wasn’t rated yet0
попробуйте и сделайте. откроете для себя много нового и интересного: например про петли в bgp.
This comment wasn’t rated yet0
они решают вопрос статических петель, но не динамических.
пара удачно проставленных localpref могут неизбывно доставить…
This comment wasn’t rated yet0
ну и потом, если все так просто и чудесно — делайте. нам будет интересно.
This comment wasn’t rated yet0
В планах, если кто закажет услугу. Ясно что это не стоит 500 евро в месяц, а как минимум 15к евро в месяц, чтобы 3-4 локации очистить от левого траффика, грубо говоря 30-40 гбит без проблем снять.
This comment wasn’t rated yet0
ну а вот теперь представьте себе качество услуги если первый клиент — он-же бета тестер.
да еще не за 500 евро а за 100500.
считаете нормальная практика когда он и услугу и R&D оплачивает, да еще и тестировщик?

знаю отличный пример создания такой услуги в «укртелекоме». где-то в архиве хабра лежит статейка как они за 100500M евро ЦОТ строили.
какая здесь экономическая целесообразность?

а ведь ЦОТ не только построить надо, он должен еще и развиваться и масштабироваться.
а это сколько стоить будет? и пойдет-ли заказчик-ангел на такие расходы?

есть некоторая разница в «knowing the way» и «walking the way». и это замечательно.
P.S. июнем прошли марку в 56Gbps. выстояли, пусть и с 5 минутной заминкой.
This comment wasn’t rated yet0
Почему бета-тестер? Локальная система готова фильтровать 17 гбит, можно либо локально ее размножить либо через anycast в мире, что логичнее, чем переплачивать за международный траффик дома.
Поставить в 5-10 IX по миру и фильтровать нужно будет уже в пределах 10 гбит, что дешевле.
А насчет 15000 евро — имхо это реальная стоимость услуги защиты от любой угрозы, меньше — это просто несерьезно (ну разве что посадить десяток проблемников и молиться чтобы 3-4 ботнета-миллионника разом не ударили).
This comment wasn’t rated yet0
Отдать на откуп специалистам: услуга у оператора/хостера или специализированного сервиса.

Если ознакомиться с прайсом многих сервисов, то окажется, что цена вопроса минимальна (в контекте того ddos который вы описали).

Промышленное решение на стороне клиента — бессмысленно! Поэтому и рассматривать их не стоит.
Как совет, вне зависимости от того существует ли потенциальная опасность быть атакованным или нет, на этапе выбора хостера или оператора смотрите на тех, кто предоставляет услуги по фильтрации трафика, как минимум вам не нужно будет переезжать в другой ДЦ и это позволит сократить вам время подключения к услуге.

А все что вы описали выше + еще 1001 метод защиты неплохо знать в качестве общеобразовательной программы от совсем легкого флуда.

Total votes 3: ↑1 and ↓2-1
инцидент с ассистом продемонстрировал «эффективную» защиту)). цены у касперского самые высокие на рынке. защиты от описанного в статье флуда будет стоить не дороже 5тыс руб.
Total votes 2: ↑2 and ↓0+2
у касперского достаточно примитивный классификатор который пройдет атака уровня приложения с хорошо распределением и джиттером в запросах.
This comment wasn’t rated yet0
Был такой широко известный в узких кругах персонаж, Николай Федотов. Так вот он любил говорить, что лучший способ защиты от DDoS-атак — не хамить в чатах. Не такой уж плохой совет, если подумать.
Total votes 4: ↑4 and ↓0+4
«или у вас десятки (а то и сотни) серверов, и Вы не успеваете физически “мониторить” их все» — а автоматизировать мониторинг нельзя?
Total votes 3: ↑3 and ↓0+3
Такой способ хорош для DoS, а не DDoS.
Total votes 1: ↑1 and ↓0+1
Если у злоумышленника тыква вместо головы, как показано на рисунке, то да, эти методы помогут.

«Используйте директиву MaxClients» — вы сделаете так, что ваш сайт будет недоступен. что и хотят злоумышленники.

fail2ban забыт, вместо него используются дибильные велосипеды.

habrahabr.ru/blogs/personal/71694/ здесь умнее и больше. :)
Total votes 3: ↑2 and ↓1+1
apache не имеет ни единого шанса. by design.
1. нет возможности ограничить размер принимаемых от клиента данных
2. недостаточно хорошо настраиваются таймауты.
3. выделение воркера происходит в момент accept() на соединение.
Total votes 3: ↑2 and ↓1+1
Осталось выяснить, при чем здесь апач? Здесь вообще бредняк написан.
В той статье которую я привел, там при прочих равных ipconfig правится, плюс как бы название доставляет.
This comment wasn’t rated yet0
1. mod_evasive — (mod_dosevasive)
дальше можно не читать.
Total votes 1: ↑0 and ↓1-1
UFO just landed and posted this here
Sign up to leave a comment.

Articles

Show the best of all time
Change theme settings

Your account

Sections

Information

Services

Support
© 2006–2024, Habr