Om det kan begränsas till ett kluster lär det väl inte ha handlat om så hemskt mycket bandbredd utan om en vanlig belastningsattack med requests på port 80? Och en sådan attack kan väl åtgärdas med en vanlig vettig brandvägg?

Ofta är det BW attacker på UDP eller annat IP protokoll, ovanligt med stora BW på TCP även om rent tekniskt möjligt på TCP. Men om man inte har möjlighet till 10G eller utrustnign för klara det så skrev jag man kan ha bra kontakt med sin ISP. Och be dom sätta limit filter under linkspeed på UDP och övriga IP protkoll. För som webbhotell har man väldigt lite UDP normalt, i princip bara för DNS.

Tack du. ;) Men säger du det så kan jag ju kontra med att du inte alltid briljerar heller.

Kastar skit på svenska webbhotell? De åtskilliga problemen som flera av dessa har uppvisat de senaste åren är nästintill skrämmande. Tycker du på allvar att den generella nivån är hög? Jag vet att man aldrig kan gardera sig mot DDos helt och fullt. Man får väl bara hoppas att det inte blir till en "allmän scapegoat" att gömma sig bakom vid problem.

Nu är jag ingen mästare på Binero är det inte så att Apache är deras gamla miljö? Det kan ju vara så att de som ligger kvar i Binero 1.0 drabbades men inte 2.0 då de har annan infrastruktur? Jag bara spekulerar.

Tror inte det, Binero 2.0 hade litespeed i början och och ändrades sedan till apache.

Vad vore en söndag utan lite webbhotellsdrama :)

Totalt förstörd, men hav förtröstan, detta verkar vara en kontinuerlig följetång.

Så kan det kännas. :-) Denna diskussionen är intressant för någonstans kommer dessa attacker kräva en del samarbeten framöver - tror jag. Dvs ISPs och infrastrukturleverantörer gör rätt i att hålla en dialog framöver. Tyvärr har det ju krävt att PTS nu gått in och styrt upp våra drakar som Telia som nu "måste" tala med sina konkurrenter om hur de hanterar att inte ta ner halva sverige för någon hackar ett par rotrar - som ju hände häromveckan. Blir snabbt en samhällsfråga för vårt lilla land. Går inte en vecka utan att någon myndighet eller större leverantör drar ner viktiga tjänster pga denna typen av attacker.

Fast nullroute/blackhole funnits i evigheter, någon får ändå ta kostnaden. Om en ISP ska svälja kanske 100G åt dig för tjänster på IP som attackeras vill dom självklart ha betalt för trafik och tjänsten.

Sedan krävs det snabbare respons mellan ISP och så än idag, dock svårt hantera stora botnät effektivt. Dock kan jag tänka mig mer övervakning och filtrering på dom stora knutpunkter i framtiden. Enda ställen men kan centralisera och effektivt göra saker på stora attacker

Du har säkert rätt att det finns lokala leverantörer som kan göra klart bättre från sig. Som du säger är vissa mycket enkla att blocka och vissa skall ju enkelt automatiskt tas på roternivå (UDP mm). Tror dock din analys är fel och du missar vad som händer hos dem. När en leverantörs nät helt försvinner så skulle jag tippa på att det mycket oftare handlar om att attacken har fyllt deras inkommande pipor och då spelar det inte roll hur mycket de vill blocka mm i sina rotrar. Piporna är fulla. Visst de kan ringa upströmsleverantörerna och med lite tur så har de inom 30-60 minuter fått till så att alla dessa börjar blocka på olika sätt. Det där är dock inte hållbart i längden när du växer då många av dessa leverantörerana inte ger denna typen av tjänster alls. Oavsett är det inte något som du då själv har kontroll över. Så många måste köpa på sig mycket mer pipor för att kunna svälja attacken - för att sedan i alla fall kunna blocka. Tror alla fattar hur man blockar en IP.

Går du vidare på lite mer intelligenta DoS-attacker som syn-flood varianter så handlar det nästan uteslutande av Arbor-typ teknik som måste in och filtrera. Kommer trafk från ett par miljoner IPn så lär du inte sittar och blocka. Har du 10 pipor in från olika håll lär dina upstreams inte heller alla klara det. Du måste själv hantera detta. Detta kan också kräva så hård filtrering att även legitim trafik kan rensas från och till.

Så de som faktiskt påverkar leverantörer en längre tid tror jag har mycket med att pipor fylls eller så är det intelligenta attacker som då inte alla har tillgång till att filtrera på bra sätt utan jobbar oftare med "throttling" av olika sorter för att överleva.

Du nämner styra trafiken - jo centraliserad styrning är nog vägen för många att gå när man blir stor nog. Inte helt lätt dock det heller och handlar många gånger om styra om hela nät som kanske då påverkar hundra kunder som inte skulle styras om mm. Använder du dessutom sådana som Arbor eller andra "molntjänster för DoS" så styrs trafiken många gånger runt USA och andra långvägar som då kan förstöra för kunder som inte ens var påverkade till att börja med. Köp Peakflow och bygg några hallar med några hundra Gbps så har du kommit långt. ;-)

För att ge en relation till detta med upströmsleverantörer och kostnader - senast jag kollade hade i alla fall ett par av våra svenska ISPs Arbor att erbjuda (signaling är ju intressant mellan leverantörer). Utan att nämna namn så tror jag det var ca 25-35000 kr per månad för att filtrera 1 Gbps. Om man då har 5-10 leverantörer och måste hantera attacker som lätt kan överstiga 20 Gbps - jadu det drar iväg. Ring Arbor och se vad "Arbor Cloud" kostar för en leverantör som har lite volymer. Du baxnar garanterat och inser att för de attackerna du har är det knappt det fungerar tekniskt och du faller garanterat på prislappen.

Till min poäng - svår fråga där lösningarna är många och brokiga och oftast dyra och svåra och i slutänden kan vi inte garantera något. Bara säga att vi kan hantera DoS-bättre och påverkas mindre.

Tror fler skall gå ihop med sina nätverk för att skapa extrema pipor och hantera saker gemensamt många gånger istället för på sin kant. Ballou och City har inlett ett sådant samarbete. Jag hoppas det blir fler.