Распространенные DDOS атаки и методы противодействия.

Часть 1, виды атак и используемые данные.

Мини-FAQ по распространенным на сегодняшний день DDOS атакам.
Сейчас самыми популярными атаками являются амплификации, принцип "усиления". Простыми словами, злоумышленник подделывает IP который необходимо атаковать и посылает запросы на DNS, NTP и т.д сервера от этого IP, сервер соответственно отвечает на нужный IP, пакетами гораздо большего размера. Грубо говоря, при оправленном 1 байте, в ответ получаете 30-60 байт. Соответственно, чем больше обращений к разным сервисам и чем выше кол. этих обращений, тем мощнее получается атака. На сегодняшний день мощность амплификаций колеблется от 1 до 30гбит. Это самый дешевый метод атак, поэтому и такой массовый.
Но что хорошо, такие атаки "тупые" и легко поддаются блокировке, имея необходимые для этого мощности.
Основные виды амплификаций:
1) DNS - Пакеты прилетают с source port 53 (UDP)
Для блокировки атак обрезаются все UDP пакеты с sport 53, кроме IP DNS серверов используемых сервером. Например 8.8.8.8
2) NTP - Пакеты прилетают с source port 123 (UDP)
Блокировка аналогична DNS, возможно без разрешенных IP, если вы не используете синхронизацию времени по интернету.
3) SSDP - Пакеты прилетают с source port 1900 (UDP)
Блокировка UDP Source Port 1900
4) CHARGEN - Пакеты прилетают с source port 19 (UDP)
Блокировка UDP Source Port 19
5) SNMP - Пакеты прилетают с source port 161 (UDP)
Блокировка UDP Source Port 161
6) QOTD - Пакеты прилетают с source port 17 (UDP)
Блокировка UDP Source Port 17
7) TeamSpeak - Пакеты прилетают с source port 9987 (UDP)
Блокировка UDP Source Port 9987
8) NetBios - Пакеты прилетают с source port 137 (UDP)
Блокировка UDP Source Port 137
9) Quake 3 - Пакеты прилетают с source port 27690 (UDP)
Блокировка UDP Source Port 27690
10) Steam - Основная масса пакетов прилетает с source port 27015 (UDP)
Блокировка UDP Source Port 27015
11) Вид атаки которую нельзя отнести к амплификациям, в основном используется рядом ботнетов, но она все-же популярна для атак на hlds сервера, source port 0 (UDP)
Блокировка UDP Source Port 0

Есть еще различные виды P2P амплификации но они не пользуются особой популярностью. Хотя в них могут использоваться любые порты.

Атаки описанные выше блокируются исключительно на уровне ISP и ДЦ, блокировка их на самом сервере бессмысленна, если у вас нет канала в пару гбит минимум.



Чуть позже поговорим о методах обнаружения атак.

Спасибо!
Обратил внимание на выделение красным !

Атаки описанные выше блокируются исключительно на уровне ISP и ДЦ, блокировка их на самом сервере бессмысленна, если у вас нет канала в пару гбит минимум.


Как я понимаю, то есть антиддос ставить бессмысленно на сервере ?

Да, если конечно на сервер не входит канал от 2-х Гбит/с и выше.
Но это будет очень наивно. Поэтому лучше фильтровать на уровне аплинков/ДЦ.

не ужели)

Fire, а где ovh^?

Вот про обнаружение было бы интересно почитать.

Лично я пользуюсь netstat -i eth0 -w, смотрю изменения rx, когда они выше определённого значения, то запускается скрипт и обрабатывает данные tcpdump, их я потом смотрю. Если кому интересно -- https://github.com/ET-NiK/TrafAn

Сдается мне, что в ближайшие дни мы увидим темы с заголовками: "Мой сервер дудосят"... Ну давайте ещё выложим ссылки на стрессеры, чтобы уж до кучи. Кто шарит в сетевых протоколах, может посмотреть сорс порт и определить вид атаки на раз-два. А кто не шарит, ну им это совершенно и не нужно, знать про эти порты и коэффициенты усиления. На VDS подобную фильтрацию проводить никто не будет на московских площадках. На дэдиках в лучшем случае и только за круглую сумму. Ну кто себе может позволить такую роскошь ? Единицы... и я более чем уверен, что они прекрасно знакомы с амплификацией, её портами и принципами работы.

и смыл тогда в этом FAQ если

Атаки описанные выше блокируются исключительно на уровне ISP и ДЦ, блокировка их на самом сервере бессмысленна, если у вас нет канала в пару гбит минимум.

в пару гигов ? вы угараете ?

У многих ДЦ на данный момент есть услуга фаервола, и стоит она не так уж и дорого.

Смысл наверное в том, чтобы совершенно не знакомые с этим люди (а их здесь не менее половины), называющие любую ошибку, пук на сервере DDoS'ом, хотя-бы немного узнали о нём.
Чтобы не было куч бессмысленных сообщений и споров, где "профи" рассказывают про чудо команды iptables, которые на 10000% защищают любой сервер от DDoS.

kuznets92, ну норм че , поговорите еще о ддосе и принципе его работы , показывать каждому как он работает , а мне кто то за слово только ДДОС выдал предупреждение а тут целая аж тема , несправедливость .

1) у тебя УП (посмотрел в журнале)
2) тут обсуждение защиты от него, а не "как им пользоваться"

GOOD FELLOW, да мне условное или нет , мне плевать , факт в том что было выдано за слово только ддос , то есть мне не нужно понимать как он действует ддос а только знать как от него защититься , сударь вы бред пишите .

Kasper55, я подробностей твоего УП не знаю ибо не видел сообщения.
И указал на суть темы.

хорошая статеика

Спасибо, пойду защищать свой ДЦ.

"блокировка их на самом сервере бессмысленна"
я тоже считаю первый пост бессмысленной информацией
У кого дата центр в несколько гигов, он сам в курсе всего, у кого просто сервер, ему лучше iptables правила предложите, защиту от школьников и все!

NTP и source port 0 ой как знакомо )

а мне и ssdp летело и фрагментированныые пакеты и ntp и syn и много чего еще.

Есть как минимум 5 ДЦ в Москве, которые предоставляют услугу фаервола. В среднем, цена добавления правил в районе 400р.
Ко мне достаточно часто обращались люди которым ложили их выделенные сервера стрессерами, после того как я смотрел какие были атаки, просили заблокировать их в ДЦ, и они успешно блокировались.
Оверсан, Многобайт, Фиорд, Есервер, и некоторые другие ДЦ предоставляют такие услуги.
Так что не считаю это бессмысленной информацией.

Что вы скажите по поводу 0x2a.com.ua ??