DDoS атака в обход Qrator. Как защититься?

[Beched]

Проделывали подобные махинации по поиску настоящего адреса при проведении нагрузочного тестирования.
Добавлю, что настоящие диапазоны можно получить ещё из общедоступной whois-базы по имени компании. Вот, к примеру, ежедневно обновляемый снапшот базы RIPE: ftp.ripe.net/ripe/dbase.
Также, помимо писем, адрес могут спалить, к примеру, сценарии загрузки аватары или другого файла с удалённого адреса (привет, SSRF).

[piromanlynx]

… что настоящие диапазоны можно получить ещё из общедоступной whois-базы по имени компании

Ну если адреса свои, то да. А если арендована стка /25 у хостера, то нет. Если у компании свои IP и AS — столько перспектив сразу открывается для DDoS

[IvanMir]

Приятно, что облачные сервисы anti-DDoS ассоциируются с Qator )
Автору спасибо за разъяснительную работу по ряду сопутствующих мер — все верно, несмотря на эффективность работы чьего-либо облака, отдаем себе отчет, что сайт все равно «cмотрит» в паблик со всеми вытекающими (если не делаем VPN от облака). Эффективная защита — всегда комплекс мер, желательно заблаговременных, и статистика четко показывает, что если придерживаться списка рекомендаций по построению инфраструктуры, выдаваемых при подключении, атака сайта становится просто экономически невыгодной для заказчика. Предвидя вопросы, рекомендации — не для публикации, к сожалению

[z3apa3a]

Простое решение — иметь почтовую машину вне ДЦ и вне боевой подсети, которая будет работать почтовым релеем и отрезать весь «Received», что у неё есть.

Даже при перечисленных мерах, IP утечет в DNS-запросе при разрешении имени почтового домена. И вообще IP не обязательно утекает через письмо, это может быть любая server side активность, например запрос аватарки по урлу.

Чтобы подобного избежать, необходимо идентифицировать и перенаправить весь трафик, который создается сервером, не только письма.

[piromanlynx]

Да это просто пример который есть сходу. Вообще, по уму — VPN/vlan с площадки в другое место, все гонять по серым адресам VPN-а, а наружу ходить из другого места. Большинство проблем с палевом решит.

[postdig]

Недавно попросили посмотреть насколько качественно был закрыт внешним анти-ддос фильтром подобный проект.

Каково же было мое удивление когда по адресу http:// example.com/info.php лежал просто тестовый скрипт с phpinfo();

так что «уйти» скрытый адрес может и изза банальной невнимательности.

[z3apa3a]

Qrator работает фактически как обратный прокси между вами и внешней сетью и отрезает все, что похоже на флуд, в том числе и request flood к API. Если у вас сервер от одного запроса ложится — тогда да, Qrator вряд ли поможет.

[z3apa3a]

Я не из Qrator'а, но да, обычно так и делается.