Tak to jste mě dostal. 
V podstatě jste navrhl způsob, při kterém se botnet blacklistuje dobrovolně sám na své straně 
. BTW takové chování už není botnet, ale jeden nahodilý pokus o útok.
Botnet = hromada nezávislých zařízení, který jsou infikovaný. Infekce probíhá většinou právě tak, že náhodně zkouší na náhodných IP adresách nějakou fintu (provalený backdoor) a když se povede, má nový node.
DoS útok vede k zablokování služby pro všechny, nikoliv pro jednoho. Mně přeci nevadí, že odepřu službu jednomu konkrétnímu člověku, který má zabreberkovaný počítač. Pro mě je důležité, že mi ten jeden zabreberkovaný počítač nezablokuje službu pro všechny ostatní uživatele.
Jenomže za jednou IP adresou můžou být stovky počítačů. Když se rozšíří virus a napadne rovnoměrně všechny adresy od ISP, odřízne to v rámci optimalizace celýho ISP. Jenomže infekce se málo kdy soustředí jenom na jednoho ISP...
Navíc je potřeba se zamyslet - fakt ten jeden PC s 1Gbps síťovkou a konektivitou v lepším případě 50Mbps do netu zahltí 10Gbps vlákno do toho serveru? Pokud jo, máš něco blbě.
DoS je stav, kdy je server přehlcený, případně jinak zablokovaný, a neposkytuje službu už nikomu.
Aha. Takže pokud bude probíhat amplifikovaný DDoS, za sekundu pžijde 1M dotazů a mezi nima je jeden od normálního klienta, který se podaří odbavit, už to není DDoS? Co ostatních 4999 klientů, kteří to štěstí neměli?
Asi nemá smysl slovíčkařit, rozumnější je nastavit parametry ve stylu "služba je dostupná, pokud se k ní dostane 95% klientů". A bezpečnost podřídit tomu. Pokud 30% lidí přichází třeba od UPC a preventivně UPC zaříznu, služba je nedostupná (dostupnost <= 70%).
Vy asi nejste síťař? Za NAT se dá spolehlivě schovat privátní síť v poměru cca 1:80 (1 veřejná IP vs. 80 privátních). Vyšší poměr už není příliš doporučovaný. Ve velkém NAT ani provádět nejde, protože se musí v reálném čase procházet tabulka conntracku - a to je početně příliš náročné. Proč si myslíte, že velcí ISP NAT prakticky nepoužívají? Dělají to možná lokální přeprodávači konektivity, ale ti mají právě maximálně stovky přípojek.
Ne, jsem embeďák.
32b celkem - 22b prefix = 10b na klienty. To je 1024 sítí, neco n režii a rezerva, dejme tomu 1000 sítí pro NATování. 5k klientů / 1k adres = 5 klientů/adresu. 5 < 80. Síťaři neumí matematiku prvního stupně ZŠ?
Pokud bude útočit na porty webu, nezbude mi, než celé IP od webu odříznout - stejně by se ten web položil, ale ne jen pro IP, ze kterého se útočí, ale pro všechny. I kdyby tam bylo 5000 uživatelů (viz výše, nereálné), tak v takové situaci je stále výhodnější odříznout 5000 uživatelů, než server nechat položit celý.
To sice jo, ale odstřižení platících zákazníků od služby je přece až krajní případ. Tady se nasazuje už jako prevence... Pokud dokážu odbavit 500k požadavků/s, momentálně chodí 2k požadavků/s a zablokuju třeba 20 zákazníků kvůli pěti požadavkům jednoho z nich, je něco trochu blbě.
Pokud bude útočit pouze na SSH či jiné služby správy, zablokuju z té IP pouze tyto služby, ale web nechám běžet.
Web server za firewallem(a bez FW by to nechal jenom debil), otevřený port 80 pro všechny, port 23 tunelem z konkrétní IP, zbytek (SQL,...) lokálně v rámci DMZ nebo tunel, ostatní natvrdo zahodit. Je to jenom pár pravidel v iptables, nic složitýho. Na SSH se nedostane nikdo nepovolaný ani při prvním pokusu.
Proč ještě navíc to samý blokovat jednou, selektivně? To jako zamknu dveře a za ně postavím ochranku, aby kontrolovala občanky těch, co projdou těma zavřenýma dveřma? Nebo kolem atomovýho reaktoru stíněýho vodou, betonem a olovem dávat ještě papír, protože jím neprojde alfa záření? Nebo jaký je smysl?
85 Odpovědí
11937 Zhlédnutí