[Danielos]

Ursprungligen postat av patrikweb

Att identifiera en attack som kommer över 1G eller så är inte någon raketforskning precis.

Ursprungligen postat av Binero

DDoS-attack ja. Våra tekniker var dock snabba och har nu begränsat den till apachekluster 03.

Om det kan begränsas till ett kluster lär det väl inte ha handlat om så hemskt mycket bandbredd utan om en vanlig belastningsattack med requests på port 80? Och en sådan attack kan väl åtgärdas med en vanlig vettig brandvägg?

[patrikweb]

Ursprungligen postat av Danielos

Om det kan begränsas till ett kluster lär det väl inte ha handlat om så hemskt mycket bandbredd utan om en vanlig belastningsattack med requests på port 80? Och en sådan attack kan väl åtgärdas med en vanlig vettig brandvägg?

Ofta är det BW attacker på UDP eller annat IP protokoll, ovanligt med stora BW på TCP även om rent tekniskt möjligt på TCP. Men om man inte har möjlighet till 10G eller utrustnign för klara det så skrev jag man kan ha bra kontakt med sin ISP. Och be dom sätta limit filter under linkspeed på UDP och övriga IP protkoll. För som webbhotell har man väldigt lite UDP normalt, i princip bara för DNS.

[Captain Thailand]

Ursprungligen postat av tartareandesire

Du verkar inte ha så bra koll på hur saker och ting fungerar

Tack du. Men säger du det så kan jag ju kontra med att du inte alltid briljerar heller.

Kastar skit på svenska webbhotell? De åtskilliga problemen som flera av dessa har uppvisat de senaste åren är nästintill skrämmande. Tycker du på allvar att den generella nivån är hög? Jag vet att man aldrig kan gardera sig mot DDos helt och fullt. Man får väl bara hoppas att det inte blir till en "allmän scapegoat" att gömma sig bakom vid problem.

[KristianE]

Ursprungligen postat av Danielos

Om det kan begränsas till ett kluster lär det väl inte ha handlat om så hemskt mycket bandbredd utan om en vanlig belastningsattack med requests på port 80? Och en sådan attack kan väl åtgärdas med en vanlig vettig brandvägg?

Nu är jag ingen mästare på Binero är det inte så att Apache är deras gamla miljö? Det kan ju vara så att de som ligger kvar i Binero 1.0 drabbades men inte 2.0 då de har annan infrastruktur? Jag bara spekulerar.

[Danielos]

Ursprungligen postat av KristianE

Nu är jag ingen mästare på Binero är det inte så att Apache är deras gamla miljö? Det kan ju vara så att de som ligger kvar i Binero 1.0 drabbades men inte 2.0 då de har annan infrastruktur? Jag bara spekulerar.

Tror inte det, Binero 2.0 hade litespeed i början och och ändrades sedan till apache.

[laststory]

Vad vore en söndag utan lite webbhotellsdrama

[Captain Thailand]

Ursprungligen postat av laststory

Vad vore en söndag utan lite webbhotellsdrama

Totalt förstörd, men hav förtröstan, detta verkar vara en kontinuerlig följetång.

[johan1234]

Ursprungligen postat av Captain Thailand

Totalt förstörd, men hav förtröstan, detta verkar vara en kontinuerlig följetång.

Så kan det kännas. :-) Denna diskussionen är intressant för någonstans kommer dessa attacker kräva en del samarbeten framöver - tror jag. Dvs ISPs och infrastrukturleverantörer gör rätt i att hålla en dialog framöver. Tyvärr har det ju krävt att PTS nu gått in och styrt upp våra drakar som Telia som nu "måste" tala med sina konkurrenter om hur de hanterar att inte ta ner halva sverige för någon hackar ett par rotrar - som ju hände häromveckan. Blir snabbt en samhällsfråga för vårt lilla land. Går inte en vecka utan att någon myndighet eller större leverantör drar ner viktiga tjänster pga denna typen av attacker.

[patrikweb]

Ursprungligen postat av johan1234

Så kan det kännas. :-) Denna diskussionen är intressant för någonstans kommer dessa attacker kräva en del samarbeten framöver - tror jag. Dvs ISPs och infrastrukturleverantörer gör rätt i att hålla en dialog framöver. Tyvärr har det ju krävt att PTS nu gått in och styrt upp våra drakar som Telia som nu "måste" tala med sina konkurrenter om hur de hanterar att inte ta ner halva sverige för någon hackar ett par rotrar - som ju hände häromveckan. Blir snabbt en samhällsfråga för vårt lilla land. Går inte en vecka utan att någon myndighet eller större leverantör drar ner viktiga tjänster pga denna typen av attacker.

Fast nullroute/blackhole funnits i evigheter, någon får ändå ta kostnaden. Om en ISP ska svälja kanske 100G åt dig för tjänster på IP som attackeras vill dom självklart ha betalt för trafik och tjänsten.

Sedan krävs det snabbare respons mellan ISP och så än idag, dock svårt hantera stora botnät effektivt. Dock kan jag tänka mig mer övervakning och filtrering på dom stora knutpunkter i framtiden. Enda ställen men kan centralisera och effektivt göra saker på stora attacker

[johan1234]

Ursprungligen postat av patrikweb

Inte helt sant, kunskap räcker långt. Några 10G hos rätt leverantörer med. Många erbjuder ju styra trafiken väldigt bra med community. Så genom möjligt styra trafiken beroende om den är inom Sverige,EU eller andra världsdelar gör det smidigt blockera ut utan större påverkan.

Ser man hos många svenska leverantörer så påverkas deras nät helt ofta, dom lyckas inte ens blockera ut enstaka IP som är målet effektivt eller snabbt.

Arbor är världsledande ja, även extremt dyra. Men med GPL saker kan du själv även fixa egen lösning med lite anpassning. Att identifiera en attack som kommer över 1G eller så är inte någon raketforskning precis.

Men detta känns lite som gamla diskussionen om Loopia för många år sedan och reservkraft. Hur dom kunde kalla sig ett seriöst företag när dom inte ens hade riktigt reservkraft.

Samma sak försöker svenska webbhotell skylla ifrån sig när dom inte klarar bedriva en verksamhet med DDoS. Och skylla på det är dyrt eller omöjligt skydda sig och det inte är deras problem.

Så klart alla DDoS inte går skydda sig emot, men ser man historiken några år tillbaka på svenska webbhotell så har dom inte klarat knappt skydda sig något rent allmänt.

Med bra kontakt med ISP även kan med med enkla filter hos leverantör skydda extremt mycket.

Du har säkert rätt att det finns lokala leverantörer som kan göra klart bättre från sig. Som du säger är vissa mycket enkla att blocka och vissa skall ju enkelt automatiskt tas på roternivå (UDP mm). Tror dock din analys är fel och du missar vad som händer hos dem. När en leverantörs nät helt försvinner så skulle jag tippa på att det mycket oftare handlar om att attacken har fyllt deras inkommande pipor och då spelar det inte roll hur mycket de vill blocka mm i sina rotrar. Piporna är fulla. Visst de kan ringa upströmsleverantörerna och med lite tur så har de inom 30-60 minuter fått till så att alla dessa börjar blocka på olika sätt. Det där är dock inte hållbart i längden när du växer då många av dessa leverantörerana inte ger denna typen av tjänster alls. Oavsett är det inte något som du då själv har kontroll över. Så många måste köpa på sig mycket mer pipor för att kunna svälja attacken - för att sedan i alla fall kunna blocka. Tror alla fattar hur man blockar en IP.

Går du vidare på lite mer intelligenta DoS-attacker som syn-flood varianter så handlar det nästan uteslutande av Arbor-typ teknik som måste in och filtrera. Kommer trafk från ett par miljoner IPn så lär du inte sittar och blocka. Har du 10 pipor in från olika håll lär dina upstreams inte heller alla klara det. Du måste själv hantera detta. Detta kan också kräva så hård filtrering att även legitim trafik kan rensas från och till.

Så de som faktiskt påverkar leverantörer en längre tid tror jag har mycket med att pipor fylls eller så är det intelligenta attacker som då inte alla har tillgång till att filtrera på bra sätt utan jobbar oftare med "throttling" av olika sorter för att överleva.

Du nämner styra trafiken - jo centraliserad styrning är nog vägen för många att gå när man blir stor nog. Inte helt lätt dock det heller och handlar många gånger om styra om hela nät som kanske då påverkar hundra kunder som inte skulle styras om mm. Använder du dessutom sådana som Arbor eller andra "molntjänster för DoS" så styrs trafiken många gånger runt USA och andra långvägar som då kan förstöra för kunder som inte ens var påverkade till att börja med. Köp Peakflow och bygg några hallar med några hundra Gbps så har du kommit långt. ;-)

För att ge en relation till detta med upströmsleverantörer och kostnader - senast jag kollade hade i alla fall ett par av våra svenska ISPs Arbor att erbjuda (signaling är ju intressant mellan leverantörer). Utan att nämna namn så tror jag det var ca 25-35000 kr per månad för att filtrera 1 Gbps. Om man då har 5-10 leverantörer och måste hantera attacker som lätt kan överstiga 20 Gbps - jadu det drar iväg. Ring Arbor och se vad "Arbor Cloud" kostar för en leverantör som har lite volymer. Du baxnar garanterat och inser att för de attackerna du har är det knappt det fungerar tekniskt och du faller garanterat på prislappen.

Till min poäng - svår fråga där lösningarna är många och brokiga och oftast dyra och svåra och i slutänden kan vi inte garantera något. Bara säga att vi kan hantera DoS-bättre och påverkas mindre.

Tror fler skall gå ihop med sina nätverk för att skapa extrema pipor och hantera saker gemensamt många gånger istället för på sin kant. Ballou och City har inlett ett sådant samarbete. Jag hoppas det blir fler.