Popolna zaščita strežnika pred napadi

Zdravo, po prebiranju zadnjih novic o DDoS napadu na GitHub mi je na misel prišlo eno vprašanje...

Ali lahko strežnik / spletno stran popolnoma zavarujemo pred napadi? Tako, da tudi velikani kot so Kitajska (oblast), ki ima na voljo ogromno sredstev za napade, ne more sesuti strežnika? In kako...

NE! :)

BadB0y je 1. apr 2015 ob 19:53 izjavil:

GTX970 je 1. apr 2015 ob 19:36 izjavil:

Proti DDoS napadom se zavaruješ tako, da imaš večjo pipico kot napadalci.

In kako boš imel večjo pipico kot npr par 1000-10000 računalnikov v botnetu ?

Da bolj odpreš denarnico.Kako misliš tao ddos napade na svojo stran rešuje MS ?

bte, lani 02/03 so Slovenci uspešno ddosali strani Gursa .

Razlika je samo v tem, da v ozadju ne gre za omrežje botnetov .

Isotropic je 1. apr 2015 ob 21:57 izjavil:

tko da maš povezanega samo na intranet

To je premalo.
Potrebno ga je dati v v poseben prostor, varen pred prisluškovanji in na poseben vir elektrike, ločen od ostalega omrežja in ga ugasniti.

Cisto blank ideja..
Obstaja kak algoritem, ki preverja use requeste, in ce se 3x v 100ms povezes blokira IP za 14 dni? naceloma tudi ce ma attacker 100k bootnet, je to se vedno le 300k requestov.. (ne ponavljajoce)? res pa je da nevem kako bi to delovalo v primeru spoofanja maca ko se za dosanje uporablja dns serverje..

N4m31355 je 2. apr 2015 ob 08:13 izjavil:

Cisto blank ideja..
Obstaja kak algoritem, ki preverja use requeste, in ce se 3x v 100ms povezes blokira IP za 14 dni? naceloma tudi ce ma attacker 100k bootnet, je to se vedno le 300k requestov.. (ne ponavljajoce)? res pa je da nevem kako bi to delovalo v primeru spoofanja maca ko se za dosanje uporablja dns serverje..

Stuff mora še vedno prit do tebe, da ga lahko blokiraš. Pipco do tebe lahko še zmer zabijejo s tem. Lahko zabijejo tudi pipco do tvojega ISP-ja.
In ne spoofa se mac naslovov ampak kar IP. Internet dela na IP-jih ne na mac-ih. :)

Tud odklop kabla ne pomaga če si te nekdo želi ker si dosti pomemben
Recimo stuxnet ...

N4m31355 je 2. apr 2015 ob 08:13 izjavil:

Cisto blank ideja..
Obstaja kak algoritem, ki preverja use requeste, in ce se 3x v 100ms povezes blokira IP za 14 dni? naceloma tudi ce ma attacker 100k bootnet, je to se vedno le 300k requestov.. (ne ponavljajoce)? res pa je da nevem kako bi to delovalo v primeru spoofanja maca ko se za dosanje uporablja dns serverje..

Ja, to obstaja. fail2ban se imenuje ena aplikacija, ki dela točno to.

Ampak problem je drugje. Če boš na tak način blokiral web requeste, si boš sam odrezal uporabnike, ki prihajajo iz nekega proxya. Razne velike firme, vsi, ki uporabljajo caching, državne uprave.

Zadeve je treba reševati ali z večjo pipico, ali pa- še bolje - s policerji na routerjih.

Navadni uporabnik naj nebi poslal 2 requesta v &less 100ms?
ali pac?

Torej ce se nekdo spravi te ugasne ne glede kaj? (napad na spamhouse 600Gb/s)

Očitno so hekerji bogaboječa bitja ali pa gre le za slučajnost.

N4m31355 je 2. apr 2015 ob 11:08 izjavil:

Navadni uporabnik naj nebi poslal 2 requesta v &less 100ms?
ali pac?

Ne bo tako preprosto. Da naložiš eno stran, je ponavadi kar nekaj requestov, tudi po par 100 v zelo kratkem času, slikice, skripte, css...

Vceraj je bil SINOG 1.6 meeting ravno na to temo.

Dva videa na to temo:

• DDoS - size isn't everything, Martijn Duijm - FORTINET


• Ten years of DDoS attacks in the data of Arbor Networks' Worldwide Security Report and ATLAS, Marco Gioanola - ARBOR NETWORKS

Proti DDOSu lahko zmagaš edino če imaš večjo pipco kot napadalec. Če je napadalec kitajska maš majhen problem.

The number of requests peaked out at 52 Mbps. Let's put that number in perspective: Daring Fireball is notorious for taking down sites by sending them about 500 Kbps of traffic. What we had just experienced was roughly the equivalent of 100 fireballs.
If each of those requests were 500 bytes, that's 13,000 requests per second. *That's about a third of Google's global search traffic.* Look at how much careful planning went into handling Kim Kardashian's butt at 8,000 requests per second.

Citat opisa januarskega kitajskega DDOSa ko so kitajci "po pomoti" zamenjali DNSje torrent trackerjev za naključnimi IPji posledice so DDOS na announce URLje na strežnikih, ki seveda ne obstajajo.
Cisco firewall je poklekno ponekod:

We were the lucky targets of China's DNS poisoning on Monday the 19th. Any requests from clients in China to Edgecast's CDN was instead thrown at our public IP. After deducing what was going on, we ended up blacklisting large (class A in some cases) APNIC address blocks assigned to China.
Interestingly, it wasn't our webservers that were overwhelmed but instead the Cisco firewall that sits in front of them. 25K concurrent connections made it decidedly unhappy.

In redkokdo prenese naenkrat 1 Gbit/s.

Zakaj blokada kitajskih IPjev ne reši zadeve:

Even with packet filtering in place, I still feel vulnerable. Why?
I'm not sure the blocks will withstand another 52 Mbps flood. Remember that up to 65,535 filter rules can be matched by code in the kernel. Your ability to block packets is only as good as the CPU that's running that code. When I hear that dedicated Cisco firewall hardware is failing, it give me no confidence that my box with 6,500 rules getting 13,000 packets per second will be able to keep up. A back of the envelope calculation shows 84.5 million comparisons per second is needed (or one every 11 nanoseconds.)
For this same reason, don't assume that any routers or load balancing schemes upstream from your server will be able to keep up with China. There's no guarantee that your hosting provider will be able to protect your servers or VM instances at rates like we experienced last week.
Still don't believe me? Look at the first comment on this post at the Internet Storm Center:

I had the same problem starting last Friday, the 2nd. Took out a full load balanced cluster of servers.

Glede na nove raziskave švedov in ostalih bi naj menjavanje javascripta prišlo nekje iz Kitajskega Ubicoma kjer je veliki požarni zid.

Cloudflare verjetno že pomaga ampak cena je pa verjetno taka da te na rit vrže. Glede na to da je nimajo niti na strani napisano.

Ali za DDoS napade ne obstaja kakšna inteligentna zaščita pred strežnikom, ki bi blokirala zahtevke za katere ugotovi, da so del napada?

Inteligentnih zadev obstaja cel kup, vendar te zgolj lahko zaščitijo tvoj strežnik pred preobremenitvijo, ne morejo pa zaščititi tvojo linijo do ponudnika.

Ko ti enkrat 'zabašejo' linijo, ti nič ne pomaga, če droppaš vse pakete in tvoj server lokalno še vedno krasno dela, če pa je nedostopen iz interneta.
V primeru kakšnega zares hudega napada pa se lahko v težavah znajde tudi marsikateri ISP.

Rešitve kot npr. Cloudflare pa dejansko tvoj strežnik 'virtualizirajo', tako da uporabniki na različnih koncih sveta v bistvu gledajo keširane strani, ki jih ti ponudniki servirajo preko geografsko razpršenih IP naslovov. Tako zgolj manjši del napada dejansko doseže tvoj strežnik.
Zadeva precej pomaga tudi da ne postaneš kolateralna žrtev, ko napadajo neko drugo web stran, ki se jo gostuje na istem strežniku kot tvoje strani - ko strežnik zaradi napada ne bo več dosegljiv, bodo tvoje strani še vedno na voljo preko Cloudflare 'oblaka'.

Sam se že kar nekaj časa pripravljam, da bi si uštimal tisto brezplačno Cloudflare varianto. Samo vrag, ko vedno nekje zmanjka tistih 'par minut', da bi zadevo poštimal.