Ну немного не в тему, но про сильного админа логика не лишена смысла. Тут имеет место чисто психологический момент. Если ддосеры (или заказчики ддоса) видят, что админ показал зубки и начал обороняться, к примеру ресурс начал пусть через раз, но открываться, на главной нет плаксивых историй о мегаддосе, зато видно что администрация онлайн, работает, сообщает о том, что все действия ддосеров логируются для последующего анализа, абузы рассылаются…, это может повлиять на решение о прекращении ддоса.
Идеальная жертва ддосера — ресурс, который тут же складывается намертво и не предпринимает ни каких действий к обороне, на главной куча слез, мол «мы ничего не можем сделать, ддос мощный», никаких попыток логировани и анализа трафика не предпринимается, абузы не шлются.
Я тоже так раньше думал. Но когда столкнулся с тем, что сервер долбили кроме стандартных ботов, несколько таких, которые выдавали до 400 тыс pps и поток в 200-300 мегабит каждый. Фишка в том, что на обычных сетевых, кои стоят в большинстве серверов, прерывания обрабатываются одним ядром, в независимости от их кол-ва на машине. И от такого числа коннектов, даже при полном DROP всех соединений вся сетевая подсистема уходит в астрал. Ну и затык канала тоже ни кто не отменял, особенно если он у вас небольшой.
Бороться с таким достаточно проблематично. Вот абузами такие дедики убиваются достаточно просто (когда как, иногда конечно приходилось звонить и ругаться). Собственно для этого и затевалась вся затея с этими скриптами, но потом я применил ее отослав абузы по нескольким сотням адресов из списка тех ботов что нас долбили постоянно, заметил, их поубавилось, а на ящик стали приходить письма мол спасибо проверим, или спасибо отослали уведомление клиенту.
>> суть ддоса не в перегрузке канала байтами (за редким видом атак), а в перегрузке сервера левыми запросами, которые в канал очень редко упираются.
не всегда так, меня больше всего в процессе защиты напрягало и пугало именно то, что могли заткнуть канал. Это на самом деле проще сделать, чем собрать многотысячный ботнет.
Достаточно несколько дедиков с руткитами на мощных каналах(а их порой собрать не так тяжело, например среди гореадминов ммпорг серверов на ворованных сборках, которые ставят чтопопало думая, что линукс умный и сам их защитит), чтобы выдать мощный поток. И пока будешь их отстреливать по одному, ругаясь с ДЦ абузами, ваш сервис будет лежать.
Чаще ДЦ предоставляют 1гбит порт на 1 сервер, если нужно больше, уже идет немного другой уровень цен, да и глупо и дорого держать такой канал ради того чтобы тебя пару дней поддосили.
Можно конечно масштабироваться горизонтально по мере надобности, но тут уже задача не для каждого проекта решается с разбегу (а обычно времени резко перестроить инфраструктуру времени нет, ибо обычно все прогнозировалось под другие нагрузки).
Балансировать трафик тоже как-то нужно, при чем так, чтобы балансировщик не заткнулся тем же гигабитом.
Тоже сразу подумал о слепых. Если у разработчиков все получится, то бесконечный им респект и уважуха, стольким людям подарят надежду на хотя бы частично полноценную жизнь.
Да и вообще это будет переворот. Управлять телефоном не доставая оного из кармана, то что было стандартной фичей несколько лет назад, в последнее время стало очень трудоемкой задачей.
Подобные процентные соотношения в перераспределении богатств были во все века, пока ни кому не удавалось изменить ситуацию. При этом Робингуды всегда заканчивали плохо.
Конечно в наш век цифровых технологий все может быть иначе, но почему-то мне кажется, что ничего не изменится.
Те кто в теме понимают всю бесперспективность затеи, однако это дополнительный пиар для анонимусов. Они стараются создать себе имидж эдаких народных героев нашего времени.
Один я вижу в их последних (да и предыдущих) действиях и заявлениях пиар чистой воды? Ну если на счет наркобаронов пиарится это еще куда ни шло, но за счет благотворительных организаций это как-то низко имхо, хотя может я отстал от тенденций современного мира.
У нас буквально несколько дней назад была тема на местном форуме, где знакомый удивлялся, что внутри дома при отключенном гпс телефон показывал местоположение с точностью до подьезда.
Пришли к выводу что это работает AlterGeo. Кто-то работал в зоне действия этой точки например через яндекс карты с включенным gps и wi-fi, ssid точки занесло в базу с привязкой и теперь определяет координаты в зоне видимости точки через гпс.
Есть предположение, если точек будет несколько, то определение будет достаточно точным.
>>> В данном случае я этого делать НЕ стал, ввиду отсутствия уязвимости и наличия непристойной глупости.
Т.е. вы оставили все как есть и просто порекомендовали съехать вашим клиентам?
Даже затрудняюсь что я бы сделал в данной ситуации, скорее также, однозначно такие хостинговые компании не имеют место на жизнь и работу.
Но мы же не в средневековье, где бы за подобное сожгли на костре или на кол посадили. :)
Как вариант, конечно, можно оповестить всех клиентов о потенциальной угрозе и снабдить мануалов по смене пароля (для тех, кто захочет там остаться).
Как вариант можно закриптовать важные папки каким-то аналогом truecrypt под андроид, например LUKS Manager. Ну дальше все просто, при надобности монтируем, после выключения размонтируется. Как вариант еще совместить с какой-то прогой, которая по звонку или смс будет выполнять действия, например отмонтировать все диски.
Ради интереса зашел в Википедию почитать про эту игрушку, первый же абзац улыбнул:
>>> Большое внимание уделено защите учётных записей от взлома…
В свете топика это выглядит как насмешка.
Хотя, конечно, от этого ни кто не застрахован.
Правда если верить тому, что написано в топике
>>>… взломщики получили доступ к данным миллионов пользователей игры, включая ID, имена, пароли и регистрационные государственные номера…
надеюсь это опечатка, и подразумевалось хэши паролей. Если же они хранили пароли в открытом виде… за такое в цивилизованном обществе принято бить канделябром, ибо может обернуться большими проблемами и для других онлайн игр, игроки редко меняют пароли.
Я делал от такого очень простую предзащиту с отсеканием вот таких умников, сейчас точно не найду конфига, но что-то типа такого:
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 1 --hitcount 100 -j SET --add-set black_list_by_conn src,src
работает быстро, сервер не грузит
ну а дальше дело техники
ipset -N black_list_conn iptree --timeout 600
т.е. навсегда мы не блочим, всего на 10 мин сек, если какой-то ип делает больше 100 запросов в сек (обычно регулируется в нормально обстановке, например настроить и повесить на пару дней без блока с записью в лог), если он продолжит, тогда будет через 10 мин опять блочится.
ну и плюс все методы защиты на куках через ипсет и iptables очень эффективны. Если с умом все настроить, то можно сдерживать не только школьный ддос.
Ну ведь в статье идет речь про узкодоступные скрипты, потому я так и написал.
А что до пользователей, я всегда старался избежать прямой загрузки файлов на хост, в большинстве случаев ее реально можно безболезненно запретить или вынести загрузку на другой сервер, не имеющей связи с основным…
Проще потратить время на реализацию альтернативной загрузки, чем заниматься аудитом сторонних скриптов и модулей. Тут никогда не знаешь с какой стороны ждать удара.
Наверное не буду оригинальным, но скажу что установка левых пусть даже и очень праведных скриптов для управления сервером в открытый доступ без привязки по ип и прочих, это плохой подход к безопасности.
Думаю кроме того, что вы нашли, в скриптах еще хватает сюрпризов. Более чем уверен, что авторы скрипта мало заботились о безопасности (ведь вы сами пишите для узкого внутреннего пользования) и априори подразумевали, что скрипт будет закрыт от сторонних глаз.
К слову, слабо представляю, зачем нужна загрузка файлов на хост через вэб в данном случае. Ее вообще отключить в конфигах пхп намертво. Файлы заливать по фтп или другим протоколам.
Ну и понятно, повесить на нестандартный порт, который жестко в iptables ограничен для админов или открывает по кноку, если нужно иногда получать доступ с других адресов.
А так если перервать все скрипты на наличие дыр, это ж двинутся можно.
Видно у них очень стабильный климат. Ибо засуха, навонднение, заморозки, эпидемия какого-то бараньего гриппа, случайно забежавшая стая волков могут существенно повлиять на курс барана. :)
Стабильность тут очень шаткая.
Почему же? Это как раз очень даже новый подход в экономике.
Любые деньги в современном цифровом мире это по сути та же строчка в БД как и топор. И к ней также применимы моментальные операции INSERT UPDATE у людей, имеющих к этому доступ.
К бумажным деньгам, к слову, применим тот же INSERT при помощи печатного станка.
Баланс же выпущенных денег и их обеспеченности каждый уравновешивает по-своему. Одни путем инфляции в своей стране, другие (те что поумней) в чужой.
Биткоину просто так INSERT и UPDATE ни кто не сделает (ну если не считать BULK INSERT от создателей(ля) :) ).
Да и вообще, как правильно было замечено, неверно было называть биткоин валютой, это вводит многих в заблуждение, и правомерно предъявляет за это требования, как к валюте.
Биткоин выражаясь ИТ языком просто криптостойкий протокол обмена, обеспечивающий некий уровень надежности передачи информации (к слову любой) от адресата к отправителю.
Построенная же на этом протоколе платежная система сразу с рождения заболела всеми взрослыми болезнями и как поведет она себя в дальнейшем, можно только прогнозировать. Она или получит благодаря этим болезням иммунитет или зачахнет продолжая болеть и скоропостижно скончается. Но не зависимо от этого на свет могут появится и другие системы, лишенные недостатков предшественника. Эволюция!
Можно, но только что такое топор в вов? Это запись в какой-то базе данных на каком-то сервере. С ним легко провести операции INSERT UPDATE DELETE человеку имеющему доступ, что нивелирует использование данного метода как средства обмена.
К биткоину же эти отдельные SQL операции неприменимы, нужна система и процессорная мощность. В этом его основная ценность (а может и слабость, чего уж греха таить).
Если по простому про биткоин, то это система, где, чтобы выполнить INSERT или UPDATE нужно совершить не несколько процессорных тактов как в SQL а произвести огромное количество операций.
Есть у всех подобных социальных сервисов одна потенциальная опасность — ддос. Например поставит себе ваш виджет какой-то радикальный сайт на блоггере, сам сайт заддосить будет уже сложно, а вот сделать невозможным комментирование, уже более реально. При чем расправа будет над одним сайтом, а пострадают все ваши пользователи, которые получат отказ в обслуживании.
Вы не думали над такой проблемой? Это наши реалии.
Мне всегда было интересно как подобные сервисы решают такие проблемы.
А вообще сервис получился классный, я недавно тестировал все подобные системы, ваша понравилась.
Ну я подразумевал фишка не в том плане что там на этом все построено, а в том, что сделана ли намеренно такая детализация графики. Если намеренно, тогда ждать клиента с улучшенной графикой скорее всего не стоит, в противном случае возможно он появится.
Меня интересует такой вопрос, а подобная графика квадратами это фишка майнкрафта или есть надежда что с приходом инвестиций будет клиент, отвечающий современным веяниям?
Идеальная жертва ддосера — ресурс, который тут же складывается намертво и не предпринимает ни каких действий к обороне, на главной куча слез, мол «мы ничего не можем сделать, ддос мощный», никаких попыток логировани и анализа трафика не предпринимается, абузы не шлются.
Бороться с таким достаточно проблематично. Вот абузами такие дедики убиваются достаточно просто (когда как, иногда конечно приходилось звонить и ругаться). Собственно для этого и затевалась вся затея с этими скриптами, но потом я применил ее отослав абузы по нескольким сотням адресов из списка тех ботов что нас долбили постоянно, заметил, их поубавилось, а на ящик стали приходить письма мол спасибо проверим, или спасибо отослали уведомление клиенту.
не всегда так, меня больше всего в процессе защиты напрягало и пугало именно то, что могли заткнуть канал. Это на самом деле проще сделать, чем собрать многотысячный ботнет.
Достаточно несколько дедиков с руткитами на мощных каналах(а их порой собрать не так тяжело, например среди гореадминов ммпорг серверов на ворованных сборках, которые ставят чтопопало думая, что линукс умный и сам их защитит), чтобы выдать мощный поток. И пока будешь их отстреливать по одному, ругаясь с ДЦ абузами, ваш сервис будет лежать.
Чаще ДЦ предоставляют 1гбит порт на 1 сервер, если нужно больше, уже идет немного другой уровень цен, да и глупо и дорого держать такой канал ради того чтобы тебя пару дней поддосили.
Можно конечно масштабироваться горизонтально по мере надобности, но тут уже задача не для каждого проекта решается с разбегу (а обычно времени резко перестроить инфраструктуру времени нет, ибо обычно все прогнозировалось под другие нагрузки).
Балансировать трафик тоже как-то нужно, при чем так, чтобы балансировщик не заткнулся тем же гигабитом.
Да и вообще это будет переворот. Управлять телефоном не доставая оного из кармана, то что было стандартной фичей несколько лет назад, в последнее время стало очень трудоемкой задачей.
Конечно в наш век цифровых технологий все может быть иначе, но почему-то мне кажется, что ничего не изменится.
Те кто в теме понимают всю бесперспективность затеи, однако это дополнительный пиар для анонимусов. Они стараются создать себе имидж эдаких народных героев нашего времени.
Один я вижу в их последних (да и предыдущих) действиях и заявлениях пиар чистой воды? Ну если на счет наркобаронов пиарится это еще куда ни шло, но за счет благотворительных организаций это как-то низко имхо, хотя может я отстал от тенденций современного мира.
Пришли к выводу что это работает AlterGeo. Кто-то работал в зоне действия этой точки например через яндекс карты с включенным gps и wi-fi, ssid точки занесло в базу с привязкой и теперь определяет координаты в зоне видимости точки через гпс.
Есть предположение, если точек будет несколько, то определение будет достаточно точным.
Т.е. вы оставили все как есть и просто порекомендовали съехать вашим клиентам?
Даже затрудняюсь что я бы сделал в данной ситуации, скорее также, однозначно такие хостинговые компании не имеют место на жизнь и работу.
Но мы же не в средневековье, где бы за подобное сожгли на костре или на кол посадили. :)
Как вариант, конечно, можно оповестить всех клиентов о потенциальной угрозе и снабдить мануалов по смене пароля (для тех, кто захочет там остаться).
>>> Большое внимание уделено защите учётных записей от взлома…
В свете топика это выглядит как насмешка.
Хотя, конечно, от этого ни кто не застрахован.
Правда если верить тому, что написано в топике
>>>… взломщики получили доступ к данным миллионов пользователей игры, включая ID, имена, пароли и регистрационные государственные номера…
надеюсь это опечатка, и подразумевалось хэши паролей. Если же они хранили пароли в открытом виде… за такое в цивилизованном обществе принято бить канделябром, ибо может обернуться большими проблемами и для других онлайн игр, игроки редко меняют пароли.
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 1 --hitcount 100 -j SET --add-set black_list_by_conn src,src
работает быстро, сервер не грузит
ну а дальше дело техники
ipset -N black_list_conn iptree --timeout 600
т.е. навсегда мы не блочим, всего на 10 мин сек, если какой-то ип делает больше 100 запросов в сек (обычно регулируется в нормально обстановке, например настроить и повесить на пару дней без блока с записью в лог), если он продолжит, тогда будет через 10 мин опять блочится.
ну и плюс все методы защиты на куках через ипсет и iptables очень эффективны. Если с умом все настроить, то можно сдерживать не только школьный ддос.
А что до пользователей, я всегда старался избежать прямой загрузки файлов на хост, в большинстве случаев ее реально можно безболезненно запретить или вынести загрузку на другой сервер, не имеющей связи с основным…
Проще потратить время на реализацию альтернативной загрузки, чем заниматься аудитом сторонних скриптов и модулей. Тут никогда не знаешь с какой стороны ждать удара.
Думаю кроме того, что вы нашли, в скриптах еще хватает сюрпризов. Более чем уверен, что авторы скрипта мало заботились о безопасности (ведь вы сами пишите для узкого внутреннего пользования) и априори подразумевали, что скрипт будет закрыт от сторонних глаз.
К слову, слабо представляю, зачем нужна загрузка файлов на хост через вэб в данном случае. Ее вообще отключить в конфигах пхп намертво. Файлы заливать по фтп или другим протоколам.
Ну и понятно, повесить на нестандартный порт, который жестко в iptables ограничен для админов или открывает по кноку, если нужно иногда получать доступ с других адресов.
А так если перервать все скрипты на наличие дыр, это ж двинутся можно.
Стабильность тут очень шаткая.
Любые деньги в современном цифровом мире это по сути та же строчка в БД как и топор. И к ней также применимы моментальные операции INSERT UPDATE у людей, имеющих к этому доступ.
К бумажным деньгам, к слову, применим тот же INSERT при помощи печатного станка.
Баланс же выпущенных денег и их обеспеченности каждый уравновешивает по-своему. Одни путем инфляции в своей стране, другие (те что поумней) в чужой.
Биткоину просто так INSERT и UPDATE ни кто не сделает (ну если не считать BULK INSERT от создателей(ля) :) ).
Да и вообще, как правильно было замечено, неверно было называть биткоин валютой, это вводит многих в заблуждение, и правомерно предъявляет за это требования, как к валюте.
Биткоин выражаясь ИТ языком просто криптостойкий протокол обмена, обеспечивающий некий уровень надежности передачи информации (к слову любой) от адресата к отправителю.
Построенная же на этом протоколе платежная система сразу с рождения заболела всеми взрослыми болезнями и как поведет она себя в дальнейшем, можно только прогнозировать. Она или получит благодаря этим болезням иммунитет или зачахнет продолжая болеть и скоропостижно скончается. Но не зависимо от этого на свет могут появится и другие системы, лишенные недостатков предшественника. Эволюция!
К биткоину же эти отдельные SQL операции неприменимы, нужна система и процессорная мощность. В этом его основная ценность (а может и слабость, чего уж греха таить).
Если по простому про биткоин, то это система, где, чтобы выполнить INSERT или UPDATE нужно совершить не несколько процессорных тактов как в SQL а произвести огромное количество операций.
Вы не думали над такой проблемой? Это наши реалии.
Мне всегда было интересно как подобные сервисы решают такие проблемы.
А вообще сервис получился классный, я недавно тестировал все подобные системы, ваша понравилась.