May 2005 - UANOG - uanog.one

RE: Re: RE: Re: RE: Re: RE: Re: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

насколько я помню, у Голденов вроде был реализован black hole BGP? Gash, ау! :) -- /doka > -----Original Message----- > From: owner-uanog-outgoing(a)uanog.kiev.ua > [mailto:owner-uanog-outgoing@uanog.kiev.ua] On Behalf Of Maxim Tuliuk > Sent: Wednesday, May 18, 2005 3:10 PM > To: uanog(a)uanog.kiev.ua > Subject: [uanog] Re: RE: Re: RE: Re: RE: Re: RE: Re: DNS DDOS > > On Wed, May 18, 2005 at 14:40 +0300, Oleg V. Nauman wrote: > > > > > > руки + время = однозначно родят :) вопрос лишь в том, что > > > > > нужен статистический анализатор трафика, а не только анализ > > > > > заголовков. Потому существующий тулзятник никак не поможет. > > > > > > > > > > Вызывает у меня сомнения, что любой статистический > > > > > анализатор трафика в > > > > > случае грамотно организованной DDoS поможет хоть чем нибудь > > > > > кроме дропа > > > > > именно тех connects, которые так нужны. > > > > > > ну, так или иначе, но Guard работает :) И это не > единственная подобная разработка, так что метод в целом > апробирован и функционирует. > > > > Блокируя connections с адресов, с которых был > единственный запрос на сервис? > > Тогда смысл? Или блокируя connections, с которых был не > единственный запрос > > на сервис? Ну так в случае грамотной DDoS ее самым важным > элементом будет > > именно используемый Guard, который сделает за атакующего > именно то, что ему > > нужно - блокирует доступ к сервису вполне себе легальным кастомерам. > > А в случае пионеров - да, пожалуй он может помочь. > > Да только вымирают они, пионеры эти, в жестоком мире Internet. > > Самая большая проблема у нас в случае DDoS - это > неадекватность тех.саппорта > _любого_ ISP, продающего наземный забугор; и пока этот > монополизм не разрушат, > до тех пор трехдневые ddos будут вполне обыденным явлением у нас :( > -- > Maxim Tuliuk > WWW: http://primats.org.ua/~mt/ > ICQ: 21134222 > > The bike is absolute freedom of moving > =================================================================== > uanog mailing list. > To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua > with "unsubscribe uanog" in the body of the message > =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: Re: RE: Re: RE: Re: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

> Это не всегда просто реализуемо, Cisco Guard (в девичестве > Riverhead Guard) как > раз для того и позиционируется, чтоб менять IP у атакуемого ресурса. Не, дядя Вова, не так. Он заворачивает на себя трафик, направленный в сторону атакуемого ресурса, отфильтровывает трафик атаки и выпускает в сторону ресурса нормальный трафик. Как именно он это делает - не спрашивай :) мои попытки выяснить у development team свелись к тому, что я получил совершенно неконкретные ответы и расслабился на эту тему :) To Oleg Nauman: уже ведь не вызывает вопросов, как Thunderbird отлавливает спам? Сначала - обучение и затем уже он автоматически это делает. У меня, когда я им пользовался, процент ложных срабатываний был мизерным - 1 нормальное письмо на несколько тысяч спамовых. Так же и Cisco Guard - сначала он работает в нормальном environment, "обучаясь" профилю нормального трафика. Потом запускается в production и в случае появления аномалий полагает, что это атака. Наверняка алгоритм достаточно сложный, основанный на многих критериях, чтобы снизить процент ложных срабатываний, т.е. все не так просто, как я описал. Ну и штатные проверки, где это возможно - на том же TCP three-way handshaking, какие-то protocol specific проверки (например, переключение DNS из UDP на TCP с дальнейшей проверкой), etc. /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: Re: RE: Re: RE: Re: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

> > > руки + время = однозначно родят :) вопрос лишь в том, что > > нужен статистический анализатор трафика, а не только анализ > > заголовков. Потому существующий тулзятник никак не поможет. > > > > Вызывает у меня сомнения, что любой статистический > > анализатор трафика в > > случае грамотно организованной DDoS поможет хоть чем нибудь > > кроме дропа > > именно тех connects, которые так нужны. ну, так или иначе, но Guard работает :) И это не единственная подобная разработка, так что метод в целом апробирован и функционирует. > или кооперация с другими операторами (в идеале - со всеми в мире) для > обнаружения и фильтрации зомбированных компьютеров. в таком случае неплохо бы начать во всем мире с uRPF :) Количество атак _на какое-то время_ резко уменьшится. Потом - если бы потребители согласились ставить на своих компах агентов, которые отслеживают activity на компе и пресекают не разрешенную по полиси (например, предупреждает о том, что некий файл (и часто это червь), который был скачан из Интернет, пытается быть запущенным - разрешать или не надо? тыкаешь - на фиг и чувствуешь себя прекрасно). Как пример такой тулзы - Cisco Security Agent - работает вполне эффективно. Ну то есть если бы все юзеры были бы подкованы технически и дисциплинированы... ну вы меня поняли - "если был бы х.. у бабушки, она бы дедушкой была" :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

RE: Re: RE: Re: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

> >Гм... твои варианты решения для DDoS mitigation? > > Дядя Вова, зачем нужен _OpenSource_ solution DDoS mitigation-а для > сетей операторского класса, сервис провайдеров и больших корпоративок? Если мне не изменяет память, то большинство провайдеров очень активно используют open source для предоставления всяческих сервисов, так почему бы и DDoS Mitigation не сделать таким же сервисом? :-) Надежность? Ну теоретически она должна быть не хуже, чем у другого open source :) > Можно предположить, что snort + zebra + руки + время родят > чтото подобное. руки + время = однозначно родят :) вопрос лишь в том, что нужен статистический анализатор трафика, а не только анализ заголовков. Потому существующий тулзятник никак не поможет. /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 5

Ослом навеяло :)
by Alexander Yeremenko 18 May '05

18 May '05

Я тута в ослах и мулах копаюсь, случайно возникла побочная реминсценция: Видать, оффтопик :) Во младые годы слыхано было и пето неоднократно под водочку то ли с автором, то ли с плагиатором перевода ( вааще то это классическое country ) На старой кобыле с ослом в поводу Я еду в Монтану, овечек веду От виски я пьян, и башка - как бидон В котором варили чертям самогон Йе, йе, йе, ev'rybody ... Потерлися старые джинсы на мне, Осел мой в дерьме, и кобыла в ярме, У кольта веревкой привязанный ствол, А шляпу сожрал ненасытный осел, Yeah, yeah, yeah ... А есть на восходе большая Раша Там жизнь удивительна и хороша, Там сеют чего-то и что-то куют, И джинсы в колхозах бесплатно дают Yeah ... Я брошу Монтану, куплю пароход, Поеду в Россию на Дальний Восход, Споем, ev'rybody, за новую жизнь, Не надо, ребята, о песне тужить, Yeah .... ps Осел - осел !!! Его пролитика паритетов и bw приводит меня в исступленное умиление ... Внятного RFTM на уровне NOC не подскажут ? -- AY7-UANIC || AY15-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

что то большее чем dialup на Троещине
by Volodymyr Yakovenko 18 May '05

18 May '05

Hello! Хочу подключить любимую маму к чемуто большему, чем dilaip на Троещине (Киев, район пересечения Закревского/Драйзера). AFAIK из доступных вариантов есть: - Volia - Cyfra.Net - чего-то из home-Ethernet-ов Пожелания: - не RFC1918 IP адрес, как вариант - фиксированный - платить по безналу - вменяемый support Кто что может посоветовать по своему опыту? Отвечать, наверное, лучше приватом. -- Regards, Volodymyr. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

mobo for freebsd
by Dmitry A.Deineka 18 May '05

18 May '05

Приветствую! Коллеги, у кого был опыт использования вот такой entry level server mobo под FreeBSD 5: http://www.intel.com/design/servers/boards/SE7221BK1-E/ В частности, интересует, как там ведет себя SATA raid в режиме, скажем, 1+0 ? С уважением, Дмитрий -- Dmitry A.Deineka DAD1-UANIC DD518-RIPE iTL Company, Kharkov UA phone: +380 57 7630001 http://www.itl.ua fax: +380 572 282375 =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

> > Cisco Guard :-) > > В данном случае: Томагавком по воробьям... И цена как раз > похожая... :( очевидно, что так, потому и спросил про open source аналогичный. /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 18 May '05

18 May '05

Cisco Guard :-) кстати, а знает кто-нибудь - есть какие-нибудь open-source разработки подобного рода? -- /doka > -----Original Message----- > From: owner-uanog-outgoing(a)uanog.kiev.ua > [mailto:owner-uanog-outgoing@uanog.kiev.ua] On Behalf Of > Gregory Edigarov > Sent: Saturday, May 14, 2005 1:56 PM > To: uanog(a)uanog.kiev.ua > Subject: [uanog] Re: DNS DDOS > > On Sat, 14 May 2005, Gregory Edigarov wrote: > > > Здравствуйте, > > > > У одного моего клиента проблема - злые хакеры постоянно > обваливают канал > > тупыми DNS запросами. > > > > У кого-то такое было? Если да, как боролись? > > Маленькое замечание - этот DNS сервер должен быть доступен > извне, так как > является авторитетным для весьма немалого числа доменов. > Запросы идут с подставленных адресов целыми блоками /8. > Прямо сейчас наблюдаю. > > -- > With best regards, > Gregory Edigarov > > > =================================================================== > uanog mailing list. > To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua > with "unsubscribe uanog" in the body of the message > =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

RE: Re: RE: Re: DNS DDOS
by Vladimir Litovka (vlitovka) 17 May '05

17 May '05

Гм... твои варианты решения для DDoS mitigation? -- /doka > -----Original Message----- > From: owner-uanog-outgoing(a)uanog.kiev.ua > [mailto:owner-uanog-outgoing@uanog.kiev.ua] On Behalf Of > Volodymyr Yakovenko > Sent: Tuesday, May 17, 2005 10:00 PM > To: uanog(a)uanog.kiev.ua > Subject: [uanog] Re: RE: Re: DNS DDOS > > On Tue, May 17, 2005 at 07:22:15PM +0200, Vladimir Litovka > (vlitovka) wrote: > >Cisco Guard :-) > > > >кстати, а знает кто-нибудь - есть какие-нибудь open-source > разработки подобного рода? > > А зачем? > > -- > Regards, > Volodymyr. > > =================================================================== > uanog mailing list. > To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua > with "unsubscribe uanog" in the body of the message > =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1