Grootschalige DDoS aanvallen - wat te doen?

[Peter]

Goedenavond,

Sinds een week of twee, drie, worden de grootste servers in een spel waar ik een ontwikkelaar van ben, aangevallen door een persoon vanuit Argentinië via een DDoS netwerk. Bij een dergelijke aanval worden er gerichte packets verstuurd vanaf duizenden IP adressen, met tientallen megabits per seconde, waardoor de server simpelweg onbereikbaar wordt. Een twintigtal servers heeft last van deze aanvallen, net zoals de officiale website/forum van de modificatie.

Het lastige punt hiervan is, er blijven zeer weinig opties over. We hebben het IP adres / e-mail adres en de nickname van degene die de aanval uitvoeren, zelfs screenshots van zijn G-Mail account waarin hij verteld dat hij met hacking gerelateerde bezigheden bezig is en ook e-mail conversaties via G-Mail zelf, inclusief de headers. Natuurlijk kan je proberen om via Google het account af te laten sluiten, maar logischerwijs zou dat hem alleen nog maar bozer maken.

Hiernaast is er ook al contact geweest met zijn ISP. Deze hebben aangegeven hier niets tegen te doen. Ook zijn er logs van duizenden geinfecteerde IP-Adressen, deze blokkeren via iptables heeft echter ook geen zin - er staan alweer honderden nieuwe IP adressen te wachten. Ook praten met hem heeft weinig zin, hij heeft aangegeven niet geïnteresseerd te zijn in een overeenkomst / staak-het-vuren.

Wat kunnen we hier nu tegen ondernemen? Wachten tot het ophoudt is natuurlijk een optie, maar met een niet-commerciele multiplayer modificatie hebben ook niet alle spelers een even grote drang om te blijven...

[Victor]

Maak een capture van het DDoS verkeer, kijk of het op de één of andere manier te identificeren is en probeer die informatie voor te leggen aan de netwerkbeheerders van je hosting provider. Deze kunnen daar waarschijnlijk wel wat filter regels voor in een router kloppen om dat verkeer te droppen.

[Peter]

King_Louie schreef op dinsdag 04 september 2007 @ 22:30:
Maak een capture van het DDoS verkeer, kijk of het op de één of andere manier te identificeren is en probeer die informatie voor te leggen aan de netwerkbeheerders van je hosting provider. Deze kunnen daar waarschijnlijk wel wat filter regels voor in een router kloppen om dat verkeer te droppen.

We weten precies wat er verzonden wordt, het is een packet van 11 bytes lang die een serie gegevens opvraagd. Het probleem hiermee is dat het wel geblokkeerd kan worden, maar het kost hem nog geen minuut om het packet aan te passen aan iets anders.

[Victor]

Peter schreef op dinsdag 04 september 2007 @ 22:31:
[...]


We weten precies wat er verzonden wordt, het is een packet van 11 bytes lang die een serie gegevens opvraagd. Het probleem hiermee is dat het wel geblokkeerd kan worden, maar het kost hem nog geen minuut om het packet aan te passen aan iets anders.

Maar je zou op basis van dat filter al wel een blacklist op kunnen bouwen om zo te voorkomen dat toekomstige aanvallen geen zin meer hebben. Hoe groot z'n botnet ook is, dat houdt een keer op. Dan moet je voor 10 aanvallen het packet even bekijken om daar een filter voor te maken, na een tijdje staat alles in de blacklist en ben je er vanaf.

[Peter]

In theorie klopt dat wel, het ligt echter moeilijker. De geinfecteerde IP-Adressen komen vanover de hele wereld (70% uit Zuid Amerika echter), en het aantal geinfecteerde IP's blijft toenemen. In totaal is er een ban-lijst van een kleine 2-duizend adressen geblokkeerd via iptables op de meest aangevallen systemen. Het helpt wel wat, zeker net na het blokkeren, maar na een paar uur gaat de aanval weer op volle sterkte door met nieuwe adressen - dit nu al 2 weken lang.

Verder is dat een oplossing als het om een klein aantal systemen zou gaan dat onder aanval zou liggen, maar gezien er tien - vijftien verschillende servers zijn wordt dit al moeilijker gemaakt.

[Victor]

Heb je gebruikers uit Zuid-Amerika? Zo niet, hele ranges gaan blokkeren.

Verder zou ik toch gaan kijken naar welke mogelijkheden je hebt om op de één of andere manier een intelligent filter te maken om die verkeersstromen te herkennen. Zou je hier misschien een deel van zo'n capture kunnen posten? Eventueel zonder de IP adressen.

Als laatste kun je natuurlijk gewoon de authoriteiten inschakelen. Ik weet niet uit welk land de persoon in kwestie komt, maar in de meeste Europese landen worden dit soort geintjes tegenwoordig redelijk zwaar bestraft. Eveneens voor de VS.

[Peter]

King_Louie schreef op dinsdag 04 september 2007 @ 23:15:
Heb je gebruikers uit Zuid-Amerika? Zo niet, hele ranges gaan blokkeren.

Verder zou ik toch gaan kijken naar welke mogelijkheden je hebt om op de één of andere manier een intelligent filter te maken om die verkeersstromen te herkennen. Zou je hier misschien een deel van zo'n capture kunnen posten? Eventueel zonder de IP adressen.

Als laatste kun je natuurlijk gewoon de authoriteiten inschakelen. Ik weet niet uit welk land de persoon in kwestie komt, maar in de meeste Europese landen worden dit soort geintjes tegenwoordig redelijk zwaar bestraft. Eveneens voor de VS.

De ranges 201.*, 200.*, 190.* en 189.* zijn op het moment al geblokkeerd, het stopt een deel van de aanvallen, maar er zijn nog meer dan genoeg drones over in de rest van de wereld.

Zoals de startpost al aangeeft gaat het om een persoon uit Argentinië. We weten precies welk pakket er verstuurd wordt, maar het probleem hiermee is dat andere, onschuldige mensen deze ook kunnen versturen, wat het detecteren erg moeilijk maakt - buiten het dataverkeer gebruik om, waar mensen dan ook op verbannen worden.

De authoriteiten inschakelen hebben we ook al aan gedacht, maar om vanuit Nederland (of een ander Europees land) iemand in Argentinië te gaan aanklagen van wie je de echte naam / locatie niet eens weet is toch niet iets simpels.

[ Voor 7% gewijzigd door Peter op 05-09-2007 09:41 ]

[TD-er]

Als je dit via IPtables, oftewel op de servers zelf gaat blokkeren, neemt de traffic naar de server toch niet af?
Oftewel dat lijkt me niet echt een traffic- en kostenbesparende oplossing. Hooguit dat de serverload wat lager is, doordat het droppen minder rekenkracht kost dan een reply sturen.
Ik weet niet wat voor regeling je hebt met je provider/colocater, maar dit kan behoorlijk in de papieren lopen als je niet uitkijkt.

[sh4d0wman]

Dit ga je niet even zelf oplossen denk ik. Waarschijnlijk zal je provider al het een en ander moeten doen. Misschien is het raadzaam om melding te maken bij CERT en politie, weet niet welk land je servers staan.

[StevenK]

Misschien dat dreigende taal van een advocaat richting de provider ervoor zorgt dat de provider toch optreedt?

[Verwijderd]

is het niet mogelijk een selfadapting script oid te maken die een ddos aanval herkent, daarna actie onderneemt om alle computers die zo'n zelfde pakketje sturen te blokkeren, of eventueel de pakketjes terug te sturen waarbij de geinfecteerde computers lamgelegd worden?

neem aan dat hier speciaal een server voor neer moet worden gezet om dit aftehandelen.