Potíže s dostupností portálu

Omlouváme se za zhoršenou dostupnost AbcLinuxu.cz a ostatních portálů. Občasný vysoký packet loss je zapříčiněn DDoS útokem (přes 20 Gbps) proti síti našeho serverhostingu.

21.5.2012 19:10 | Luboš Doležel (Doli) | Upozornění

Komentáře

[Luboš Doležel (Doli)]

Můj tip: puberťáci z Anonymous.

[Mrkva]

20Gbps? To jim dost fandíš.

[AsciiWolf]

+1

[ewew]

Aké porty alebo na čo konkrétne útočili.

Sú to nejaké sofistikované útoky alebo obyčajne ?

[Luboš Doležel (Doli)]

Já nevím Takže je to jako tipovat na hokej.

[DK]

za tim urcite bude stat firma Koch&Koch :)

[belisarivs]

Furt lepsi, nez kdyby za tim byl Heckler&Koch

[DK]

tak lepsi strilet do routeru se snahou, ze to nejak zasahne vzdaleny server, nez soutezit s firmou, ktera poskytuje hardwarove, ale hlavne softwarove reseni za pravdepodobne 2 miliony kc :)

[Solitary]

Cekal bych od tebe teda zasvecenejsi nazory, nez tohle demonizovani Anonymous vystrizene jak z TV Noha. Osobne bych tipoval spis konkurenci. Pokud teda dany serverhosting verejne neprohlasuje podporu ACTA, cenzuru na internetu apod. pak bys mohl mit pravdu.

[Luboš Doležel (Doli)]

Osobne bych tipoval spis konkurenci.

Konkurenci koho?

Pokud teda dany serverhosting verejne neprohlasuje podporu ACTA, cenzuru na internetu apod. pak bys mohl mit pravdu.

Vidíš. A právě proto považuju Anonymous za tlupu puberťáků. Ze začátku to mělo nějaký smysl jako taková demonstrace, ale pak už útočili na každého, kdo má jiný názor. I kdyby serverhosting veřejně podporoval ACTA, komunisty a cikány, tak to nevidím jako obhajitelný důvod pro útok.

[Solitary]

Konkurence daneho hostingu.

[Bubak]

Proc ne? Treba by nekteri uzivatele (hostingu), kteri by to neveeli, zjistili, jake ma jejich hostitel nazory a prehodnotili by vyhody a nevyhody jeho sluzeb?

[ewew]

Už hosting dal ban na tie IP, ktoré spôsobujú útok ?

NIe je obmedzené posielanie ICMP správ o nedostupnosti ?

[BFU]

Si to predstavujes jak Hurvinek valku

[David Watzke]

+1, napadlo mě to samý

[Filip Jirsák]

Myslíte iptables -A FORWARD -i eth0 -s 0/0 -j DROP?

[Piškot]

To by vysvětlovalo nedostupnost serveru, tedy po IPv4 :D

[David Heidelberg]

Skynet si uvědomil sám sebe, během několika hodin přišel shodít abíčko, aby nebylo kde se poradit co s ním :D

[mikirc]

:D cool

[marek_hb]

Amiga si uvědomil sám sebe a snaží se smazat svoje příspěvky !!!

[Pepa]

Vsadim se ze to byl Amiga.

[xkucf03]

Spíš jeho kočky, těch je víc, Amiga je jen jeden, to by nebyl DDoS.

[marek_hb]

jak to, že mě napadl taky ještě než jsem přečetl tvůj komentář? :)

[vencour]

IPv4 nebo IPv6?

[kotyz]

Taková ironie, kvůli Potížím s dostupností portálu sem si ani nemoh přečíst tuhle zprávičku o Potížích s dostupností portálu Už to ty DDOSaře přestalo bavit?

[Stanislav Petr]

Utok probuha v UDP paketech na ruzne cilove adresy a porty subnetu ve kterem je mimo jine i abclinuxu.cz. Prubezne blokujeme hlavni zdroje DDoS utoku.

[Migi]

to je zajmavy, muj web tam ted jede mnohem rychleji nez driv (ja to nebyl)

[mess]

Profoukly se trubky

[Migi]

takze to nakonec byli etičtí hackeři a my všichni bychom jim měli byt vděčni ne?

[kyytaM]

Priznajte sa kto busi do F5 na klavesnici. :D

[jehovista]

Ja se priznavam, ale moc to nepomaha.

[Stanislav Petr]

No, to by znamenalo nejakejch 10 milionu uhozu na F5 kazdou sekundu.... :D Jinak se zda ze se uz utok podarilo kompletne odfiltrovat, takze budeme doufat ze to vydrzi.

[kris]

Jak se dá takový útok odfiltrovat? Nedávno jsem nad tím přemýšlel a došel jsem k závěru, že to vlastně ani nejde. Ty pakety na router doputují tak či tak, jen se třeba zahodí, ale linku to bude zatěžovat pořád. Jak jste tohle vyřešili?

[cigi]

Pokud je útok silnější, než linka / router, nic moc se s tím udělat nedá. Útoky však častěji bývají cíleny na jiné (slabší) cíle za routerem - a tedy pokud je na routeru odfiltrujeme, nemáme sice vyhráno, ale je to lepší.. Také nejde jen o datový tok útoku, ale spíše o počet paketů - a s tím si pořádný router určitě poradí lépe, než třeba takový webserver.

Kdyby se jednalo o opravdu distribuovaný ddos z tísíců zrdojů po celém světě, odfiltrujeme ho těžko (i když pokud budou všichni posílat stovky UDP paketů za vteřinu, až takový problém to nebude). Dost často jsou ale zdrojů spíše jednotky až desítky a to už se dá.

[Filip Jirsák]

Útoky však častěji bývají cíleny na jiné (slabší) cíle za routerem

To by ale nebylo nazváno útokem na síť, ne? I když je možné, že to je Lubošova formulace a někde cestou od techniků hostingu došlo ke zkreslení.

Dost často jsou ale zdrojů spíše jednotky až desítky a to už se dá.

Tomu se říká DDoS? Já tedy DoS/DDoS rozlišuju podle toho, zda jde o neidentifikovatelné množství zdrojů (DDoS), nebo zda množství zdrojů je omezené a dají se identifikovat (včetně případného přibývání útočících zdrojů) – pak je to „jen“ DoS.

[cigi]

Utok probuha v UDP paketech na ruzne cilove adresy a porty subnetu ve kterem je mimo jine i abclinuxu.cz. Prubezne blokujeme hlavni zdroje DDoS utoku

Tomu se říká DDoS? ..

Každý tomu říká jinak a teoreticky, pokud je již cílů více než jeden.. Ale v zásadě souhlasím s tebou.

[petr_p]

Kdyby se jednalo o opravdu distribuovaný ddos z tísíců zrdojů po celém světě, odfiltrujeme ho těžko

Když útok ucpe hraniční linku provozovatele, tak se to řeší vypropagováním prefixu z jiných autonomních systémů, tak aby se provoz rozdělil podle lokalit, tam se packety přefiltrují a co lze považovat za regulérní požadavky, se přepošle domů tunelem.

[Stanislav Petr]

Tohle bohuzel nejde, protoze dnes se bezne pouzivaji na BGP filtry ktere tohle znemozni - protoze tohle by bylo jinak brano jako "unos" adresy. Dalsi vec je ze se bezne filtruji v BGP routy mensi nez /24. Reseni jak se to dela jsem popsal o kousek niz.

[Stanislav Petr]

Moznosti reseni je vice, jednak se da provoz na routerech filtrovat (pokud to linka stiha), pokud utok zacne byt prilis masivni resi se to blackhollingem, tak ze se IP adresa na kterou jde utok propaguje dalsim AS prez ktere utok prichazi s dohodnutym community flagem ktery zpusobi nastaveni blackhole route a stejnoy postup se opakuje na dalsi AS se kterymi dane tranzitni AS peeruje.

[j]

Tj, ale tim docilite presne toho, o co utocnikum jde - sice to nesejme servery, ale budou nedostupny. Nehlede na to, ze velmi efektivni DDOS lze na vetsinu cilu vygenerovat i bez sofistikovanych nastroju - staci akce typu "neco tam rozdavaji zadarmo" ... ;D.

[Filip Jirsák]

Servery pak budou dostupné alespoň odněkud, což je pořád lepší, než když jsou nedostupné odevšad.

[Käyttäjä 11133]

No hlavně tím kvůli útoku na jeden server v AS neodstavíš celou síť, ale jen jeden (případně více, pokud DDoS cílí na více serverů které jsou v ruzných subnetech) /24 subnet...

[irongodx]

aaach ... dufam ze som to neni ja mojou pomalou linkow ale priklanam sa ties ku konkurencii ale nie hekersku ale okienkovu ... zavidia asi stabilitu a cakaju modre obrazovecky :)