Защита от простого Ddos

[Aquarius]

Подскажите, кто у нас умеет сделать несложную настройку ubuntu server От ddos + показать инструменты для анализа что происходит в случае атаки для определения ее типа и возможных вариантов действия.

[GerinG]

несложную настройку ubuntu server От ddos

 

 

Домашний хостинг? В таком случае или не париться или убрать слово "несложная ". Любой мало-мальски грамотный DDoS положит Убунту, настроенную на коленке.

 

Или для саморазвития? Тогда совершенно другая песня. Начинать я бы стал с литературки и профильных форумов для въезжания в общую тему. Потом только настройка.

[Aquarius]

хостинг не домашний.

но убунта настроена на коленке.

убрать слово "несложная "

ну если можно настроить от нормального ддоса то я буду только рад.

Вопрос к кому обратиться для правильной настройки.

[Гость bred]

Любой мало-мальски грамотный DDoS положит Убунту, настроенную на коленке.

а мало-мальски грамотный - это какой? (сорри за неграмотность вопроса, если что, но никогда не ддосил никого))

Я как помню, в низкоуровневых стенках были настройки банить ИП, если в течение стольки-то секунд от него приходит столько-то запросов (забыл числа - толь по 3 запроса в секунду, толь что, но это настраиваемо)

Грамотность состоит в том, что подобного нет?

[Eugene]

http://habrahabr.ru/tag/ddos/

[GerinG]

Eugene, лучше ссылки и придумать сложно...

[GerinG]

bred, я не большой специалист по DoS или DDoS атакам, поэтому могу сказать одно - низкоуровневая стенка с баном ИПов хорошо работает только при атаке флудом, то есть забиванием канала запросами. От атаки второго уровня или ошибок системы она не спасет никак, имхо

[Aquarius]

спасибо за ссылки! Но еще больше хочется пообщаться со специалистом, если такой в Крыму имеется и захочет пообщаться :)

[a0xff]

задачу бы подробнее описали. какой сервис то атакуют хотя бы... а то решений много, разные. можешь в личку написать например

[Гость bred]

спасибо, начал загружаться )

жаль, попробовать не на чем - корпсеть не допустит..

[Aquarius]

пока собственно никакой, но было что-то похожее. на какой сервис даже не скажу точно. поэтому интересна превентивная защита ну и заранее знать инструменты чтобы отследить на какой хоть сервис.

Или универсального ничего нельзя сделать и обращаться к спецам только когда уже будет реальная атака?

И спецов искать живьем или он-лайн сервисы подойдут? НА которые можно перенаправлять домен чтобы они выступали проксей?

[a0xff]

Константин, Вы обсудаете сейчас сферическую атаку в вакууме. На практике никакой универсальной защиты никто не сделает. Даже простой http сервис можно накрыть почти десятком способов и диагностироваться атака будет во всех случаях по разному.

Например можно тупо убить канал сервера icmp трафиком(отсекаем его где-нить по пути), можно убить сервер нагрузкой, очень активно делая запросы поиска(у многих сейчас ограничение на повторный поиск), можно убить http сервер простыми get запросами, может еще никто нас не ддосит, а просто проект вырос и нужно искать решение этого...

По способам диагностики- как правило в том же логе http сервера явно видны вредоносные запросы. иногда они даже от одного конкретного адреса

[SlavaD]

Отбиться от DDoS далеко не простая задача, и зачастую отличить атакующего, от обычного пользователя, оказывается весьма сложно. То есть профессиональная атака будет подстроена под множество нормальных обращений, при чем нормальных обращений с разных IP.

 

Соответственно, первое, что мы должны сделать, это создать максимальный запас по "мощности". Путей тут 2, это тупое увеличение производительности железа/каналов и тщательное конфигурирование системы и приложений. Например системными средствами закрыть все лишние порты правилом DROP (речь идет о Linux) или DENY, если мы хотим делать вид, что на этом порту ничего не висит, во время атаки правило DROP можно сменить на TARPIT. Conntrack желательно выключить, для IP находящегося в зоне риска (разумеется NAT на этом IP перестанет работать). Приложения тоже тщательно оттюнить, выставив минимально необходимые значения timeout. Тот же apache по возможности прикрыть при помощи nginx. Почту распределить на несколько MX серверов и в случае атаки принимать ее только от свободных на данный момент узлов.

 

Если атака началась и запаса "мощности" не хватило, начинать анализировать структуру атаки. В силу причин указанных вначале, универсальных средств здесь нет. tcpdump+мозг помогут понять, что происходит и заткнуть проблему.

 

Собственно есть еще метод, далеко не всегда применимый, но упомянуть стоит. Делаем наоборот, не врагов ищем, а закрываем доступ всем и открываем, только определенной группе, разумеется у вас должно быть средство, как эту группу вычленить.

[Aquarius]

SlavaD, большое спасибо за инфу.

[Eugene]

фраза "хватит досить"

на украинском языке теряет смысл :)