Citat:
Ursprungligen postat av johan1234
(Inlägg 20507254)
Du har säkert rätt att det finns lokala leverantörer som kan göra klart bättre från sig. Som du säger är vissa mycket enkla att blocka och vissa skall ju enkelt automatiskt tas på roternivå (UDP mm). Tror dock din analys är fel och du missar vad som händer hos dem. När en leverantörs nät helt försvinner så skulle jag tippa på att det mycket oftare handlar om att attacken har fyllt deras inkommande pipor och då spelar det inte roll hur mycket de vill blocka mm i sina rotrar. Piporna är fulla. Visst de kan ringa upströmsleverantörerna och med lite tur så har de inom 30-60 minuter fått till så att alla dessa börjar blocka på olika sätt. Det där är dock inte hållbart i längden när du växer då många av dessa leverantörerana inte ger denna typen av tjänster alls. Oavsett är det inte något som du då själv har kontroll över. Så många måste köpa på sig mycket mer pipor för att kunna svälja attacken - för att sedan i alla fall kunna blocka. Tror alla fattar hur man blockar en IP.
Går du vidare på lite mer intelligenta DoS-attacker som syn-flood varianter så handlar det nästan uteslutande av Arbor-typ teknik som måste in och filtrera. Kommer trafk från ett par miljoner IPn så lär du inte sittar och blocka. Har du 10 pipor in från olika håll lär dina upstreams inte heller alla klara det. Du måste själv hantera detta. Detta kan också kräva så hård filtrering att även legitim trafik kan rensas från och till.
Så de som faktiskt påverkar leverantörer en längre tid tror jag har mycket med att pipor fylls eller så är det intelligenta attacker som då inte alla har tillgång till att filtrera på bra sätt utan jobbar oftare med "throttling" av olika sorter för att överleva.
Du nämner styra trafiken - jo centraliserad styrning är nog vägen för många att gå när man blir stor nog. Inte helt lätt dock det heller och handlar många gånger om styra om hela nät som kanske då påverkar hundra kunder som inte skulle styras om mm. Använder du dessutom sådana som Arbor eller andra "molntjänster för DoS" så styrs trafiken många gånger runt USA och andra långvägar som då kan förstöra för kunder som inte ens var påverkade till att börja med. Köp Peakflow och bygg några hallar med några hundra Gbps så har du kommit långt. ;-)
För att ge en relation till detta med upströmsleverantörer och kostnader - senast jag kollade hade i alla fall ett par av våra svenska ISPs Arbor att erbjuda (signaling är ju intressant mellan leverantörer). Utan att nämna namn så tror jag det var ca 25-35000 kr per månad för att filtrera 1 Gbps. Om man då har 5-10 leverantörer och måste hantera attacker som lätt kan överstiga 20 Gbps - jadu det drar iväg. Ring Arbor och se vad "Arbor Cloud" kostar för en leverantör som har lite volymer. Du baxnar garanterat och inser att för de attackerna du har är det knappt det fungerar tekniskt och du faller garanterat på prislappen.
Till min poäng - svår fråga där lösningarna är många och brokiga och oftast dyra och svåra och i slutänden kan vi inte garantera något. Bara säga att vi kan hantera DoS-bättre och påverkas mindre.
Tror fler skall gå ihop med sina nätverk för att skapa extrema pipor och hantera saker gemensamt många gånger istället för på sin kant. Ballou och City har inlett ett sådant samarbete. Jag hoppas det blir fler.
|
Du har rätt på en sak, att svenska webbhotell är rätt amatörer och ofta inte har någon egen infrastruktur alls. Vilket mer vanligt utomlands.
Men då blir man mer beroende av köpa det som tjänst av sin ISP.
Men som jag som haft eget AS från 2005, typ under 6 mån sedan jag startade första företag när jag var 19. Så handlar mer om kunskap där i grunden.
Men av den orsak varför rimligt med minst 10G samt egen BGP så man kan automatiskt nullroutra/blackhole IP som är attackerat för inte hela nätet ska bli lidande.
Hade man haft kunskap och vet hur man pratar med sin ISP och sagt att vi vill ha filter som gör att UDP samt övriga IP protokoll inte får ta upp mer än 30% av länkhastighet. Eller tvärtom att TCP alltid ska garanteras 70% om det behövs. Det hade skyddat mot extrem stor del av DDoS som fyller linor.
Sedan använda Arbor för simpla SYN attacker låter löjligt, det ska normala FW klara eller standard utrustning. SYN attacker eller attacker rent allmänt som inte fyller linan går filtrera massa sätt. Ända ner till L7 för hitta mönster. Går även bygga filter som baserar sig vilket land olika IP kommer ifrån eller världdelar. Just för kunna prioritera och ha olika möjligheter.
Går även ha mer avancerad check för kolla om dom som skapar SYN gör full handskakning om inte lägg dom i full block så länge.
I grunden så attacker från botnät innehåller ofta ett visst mönster.
Även om du har fler pipor/transit behöver inte alla leverantörer har Arbor utan räcker med 1 av dom.
Vid DDoS behöver du bara lägga om det nät till den leverantör som du har Arbor eller annan DDoS skydd ifrån med en more specefice route.
Detta är bara självklara saker som bara handlar om kunskap, behöver inte bli så dyrt alls om man har kunskapen.
Sedan går det styra affärsmodell med lite om man har lite olika pipor, ha ett premium nät där kunder som vill betala lite extra får egen unik IP sedan se till styra det nät separat åt vissa pipor sedan kunna styra om trafik just för dom nät automatiskt för inte det ska för störningar för mindre värda kunder får DDoS.
