Dotaz: DoS attack

[smrtak_]

Zdravim, dal by mi nekod radu, nebo navod jak jednoduse a efektivne omezit DoS utok na server, kde bezi icmp,http,a mail sluzby... nejlepe pres iptables...

Prochazel jsem toto forum a nic konkretniho jsem nenasel. Mam debiana sarge na jadre 2.4

Dik.

Odpovědi

[Luboš Doležel (Doli)]

Měl jsem za to, že DoS se jen tak zabránit nedá. Nicméně můžete omezit syn flooding něčím podobným (nastavte si rozumné hodnoty):

iptables -N syn_flood
iptables -A INPUT -i eth0 -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 5 -j RETURN
iptables -A syn_flood -j DROP

[trekker.dk]

Přesně tak - tento způsob omezí syn flooding, ale útoku DoS nezabrání - jestliže útočník udělá řekněme 9 pokusů o spojení za sekundu, kdežto užitečný provoz jenom jeden, tak je dost pravděpodobné, že se mu stejně nepodaří spojit

[smrtak_]

jake doporucujete hodnoty, rekneme pro nastevnost 15 000 uzivatelu za den? Nerad bych to podimenzoval nebo predimenzoval, vlastne ani nevim jake hodnoty limitu to pouziva, na jednu IP nebo celkem?

[Luboš Doležel (Doli)]

Celkem - proto bych to pro vás nedoporučoval. Tohle vás ochrání před SYN floodem na některé služby, ale DoSu to rozhodně nezabrání (možná ho to spíš urychlí).

[smrtak_]

Takze spravne nadimenzovany SYN flooding , u icmp a tcp nedoporucujete?

[smrtak_]

Tak jsem tedy nakonec povolil zatim jen SYN-cookies, a v nejblizsi dobe prostuduju modul mod_dosevasive do apache...

Pokud mi nekdo da par rad z praxe, nebo me navede spravnym smerem, velice to uivitam.

Jeste jednou diky.

[Max]

Mno, jak už tady padlo, tak by mohlo pomoci toto (proti syn flood) :

iptables -N dos_utok
iptables -A INPUT -i eth0 -p tcp --syn -j dos_utok
iptables -A dos_utok -m limit --limit 1/s --limit-burst 5 -j RETURN
iptables -A dos_utok -j DROP

Tím jsme omezili počet spojení na 5 za sekundu
K tomu bych přidal ještě tyto dva řádky :

iptables -A INPUT -i eth0 -p tcp --syn -j dos_utok
iptables -A FORWARD -i eth0 -p tcp --syn -j dos_utok

Proti DoS pomocí tzv. echo-request by mohlo částečně pomoci toto :

iptables -A INPUT -i eth0 -p icmp --icmp-type echo-request -j dos_utok
iptables -A FORWARD -i eth0 -p icmp --icmp-type echo-request -j dos_utok

Tímto zahrneš do pravidla pro syn i žádosti o ping.
Ale to není jediná obrana, částečně by ti mohl pomoci také xinetd.
Zdar Max

[smrtak_]

iptables -A dos_utok -m limit --limit 1/s --limit-burst 5 -j RETURN

jak uz tu bylo receno, tak tohle omezi pocet spojeni v ramci celeho serveru ne? Takze v pripade ze mam webserver, to DoS attack spise ulehci... aplikoval bych to spise na ostatni sluzby, ktere vyuzivam jen ja, to jest vse krom portu 80, ale tim si take nejsem jist, kdyz uz bude nekdo utocit tak zautoci nejspis na 80 ku...

[Max]

Tak tak. Ještě bych to asi doladil tak, že bych specifikoval porty, na které se bude limit vztahovat, asi něco jako "!ssh". ssh by jsi měl ošetřené např. z jedné IP, či lokální sítě a apod, takže tam by DoS nehrozil. Jak už jsem psal, zkus kouknout na xinetd . Pak je ještě možnost omezit počet spojení na IP, to už by mohlo být lepší řešení :), ale hůře proveditelné ...
Zdar Max

[smrtak_]

Tak az teprve ted jsem se dostal k dokumentaci systemu , k sekci security, uf myslim, ze mam do Vanoc co delat :) Kdyz opomenu takove zakladni veci, ktere jsem od instalace neudelal...