T.net en GOT plat?

[wasigh]

Op dinsdag 08 januari 2002 14:05 schreef nelske het volgende:

[..]

Sorry, ik zal voortaan mijn veters strikken

En we hadden je eigenlijk ook niet mogen duwen

[wildhagen]

Op dinsdag 08 januari 2002 14:07 schreef Gordijnstok het volgende:
En in grootste woorden staat op hun site dat Trueserver 2x een Juniper M20 heeft staan, en dus redundant uitgevoerd.. yeah right...

Als dat zo is moet alles wat Trueserver beweert dus met een korreltje (correctie: kilotje) zout worden genomen

[IceStorm]

Op dinsdag 08 januari 2002 14:07 schreef Gordijnstok het volgende:
En in grootste woorden staat op hun site dat Trueserver 2x een Juniper M20 heeft staan, en dus redundant uitgevoerd.. yeah right...

Redundant houd toch in dat als de ene uitvalt de andere daarmee sympathiseert en ook uitvalt

[OProg]

Op dinsdag 08 januari 2002 14:04 schreef nelske het volgende:
Hmzz en ikke chello maar weer de schuld geven

Mijn eerste reactie... "%&8%#12f%, chello weer down :("

[D2k]

Op dinsdag 08 januari 2002 14:09 schreef IceStorm het volgende:

[..]

Redundant houd toch in dat als de ene uitvalt de andere daarmee sympathiseert en ook uitvalt

rotflol

[Verwijderd]

Op dinsdag 08 januari 2002 14:07 schreef Gordijnstok het volgende:
En in grootste woorden staat op hun site dat Trueserver 2x een Juniper M20 heeft staan, en dus redundant uitgevoerd.. yeah right...

Jij weet blijkbaar niet hoe groot mijn schoenen zijn

Maar is dat niet dat ding wat ze laatst daar geinstalleerd hebben? Is erg goed gegaan dan

Op dinsdag 08 januari 2002 14:08 schreef wasigh het volgende:

[..]

En we hadden je eigenlijk ook niet mogen duwen

Ik krijg jullie wel terug hoor. Volgende keer ligt heel internet plat

[Breuls]

Op dinsdag 08 januari 2002 14:04 schreef aardbeix15 het volgende:
zie ook:
http://gathering.tweakers.net/forum/list_messages/373674
http://gathering.tweakers.net/forum/list_messages/373676

Staat daar nog iets relevants in?
Want ik kan er in niet in namelijk, en vast niet weinigen met mij.

[Dennahz]

Op dinsdag 08 januari 2002 14:07 schreef terabyte het volgende:

[..]

Leuk.. dat verwijzen naar fora waar ik niet in mag..

[xantos]

Op dinsdag 08 januari 2002 14:12 schreef Breuls het volgende:

[..]

Staat daar nog iets relevants in?

Nee...

[Mart!]

Op dinsdag 08 januari 2002 14:12 schreef Breuls het volgende:

[..]

Staat daar nog iets relevants in?
Want ik kan er in niet in namelijk, en vast niet weinigen met mij.

Nee staat niet veel boeiends in (HK weet je!), dit topic is het hoofdtopic, 1 ervan is al gesloten 2e volgt vast nog

[wasigh]

Op dinsdag 08 januari 2002 14:11 schreef nelske het volgende:

Ik krijg jullie wel terug hoor. Volgende keer ligt heel internet plat

Hoezo? zijn er naast GoT _{en javahova} nog meer sites dan

[Arnout]

Nou heb er ff goed gebruik van gemaakt.

Ben lekker uitgebreid (dus +15mins) naar de plee geweest.

[Oscar the Grouch]

Op dinsdag 08 januari 2002 14:12 schreef Breuls het volgende:
Staat daar nog iets relevants in?
Want ik kan er in niet in namelijk, en vast niet weinigen met mij.

Jah, sowwy, die topics zijn echt veel beterder, daarin staat namelijk vermeld dat de core-router bij TrueServer dood was.

[Breuls]

Op dinsdag 08 januari 2002 14:16 schreef Oscar the Grouch het volgende:
Jah, sowwy, die topics zijn echt veel beterder, daarin staat namelijk vermeld dat de core-router bij TrueServer dood was.

Ow men, balen dat ik er niet in kan dan.
Had het nog wel een keer willen lezen.

(tenks iig)

[Arnout]

't Is trouwens nog steeds niet helemaal stabiel.

[Verwijderd]

Hierbij vereeuwigde leugens.

[Eguan]

Op dinsdag 08 januari 2002 14:15 schreef MetHod het volgende:
Nou heb er ff goed gebruik van gemaakt.

Ben lekker uitgebreid (dus +15mins) naar de plee geweest.

Lekker hoor!

[Verwijderd]

Op dinsdag 08 januari 2002 14:14 schreef wasigh het volgende:

[..]

Hoezo? zijn er naast GoT _{en javahova} nog meer sites dan

Hmzz, ik zal de mensen hier maar niet gaan vermoeien met een heel rijtje linux links

Maaruh, na meer dan een uur geen GoT/internet krijg je wel afkick verschijnselen hoor en zul je vanzelf je excuses aan komen bieden

[wasigh]

Op dinsdag 08 januari 2002 14:20 schreef Gordijnstok het volgende:
Hierbij vereeuwigde leugens.

[afbeelding]

misschien hadden ze er 1 uitgehaald voor onderhoud en is toen de ander op zijn bek gegaan?

[DeX]

Op dinsdag 08 januari 2002 14:22 schreef wasigh het volgende:

[..]

misschien hadden ze er 1 uitgehaald voor onderhoud en is toen de ander op zijn bek gegaan?

Neuh.. volgens mij hebben ze er een CS server van gemaakt.

[BreadFan]

Op dinsdag 08 januari 2002 14:22 schreef wasigh het volgende:

[..]

misschien hadden ze er 1 uitgehaald voor onderhoud en is toen de ander op zijn back gegaan?

Op zijn rug gegaan?

Doen servers dat ook al?

[WHiZZi]

of de schoonmaker pleurde over de UTP kabel

[Mart!]

Op dinsdag 08 januari 2002 14:22 schreef wasigh het volgende:
misschien hadden ze er 1 uitgehaald voor onderhoud en is toen de ander op zijn bek gegaan?

Of hadden ze beide aan dezelfde UPS hangen en ging deze gigantisch naar de haaien ? Het blijft natuurlijk gissen. Maar ik neem aan dat een bedrijf als TrueServer toch echt wel redundant uitvoert en dat dit iets is wat ZEER weinig voorkomt.. Just a case of bad luck... of Murphy's Law

[Verder beetje HK nivo hier in LA]

[Verwijderd]

Op dinsdag 08 januari 2002 14:26 schreef WHiZZi het volgende:
of de schoonmaker pleurde over de UTP kabel

Sinds wanneer ben ik schoonmaker

Hoewel modje valt wel met schoonmaker te vergelijken

[DeX]

volgens mij is het een vertraagde millennuim bug,.

[MAZZA]

Op dinsdag 08 januari 2002 14:27 schreef DeX het volgende:
volgens mij is het een vertraagde millennuim bug,.

Zo een:

32.12.1999
Y2K bug has been successfully solved

[DeX]

Op dinsdag 08 januari 2002 14:31 schreef MAZZA het volgende:

[..]

Zo een:
[..]

Pfffff ROFL

[Engineer]

.

[ Voor 99% gewijzigd door Engineer op 13-10-2018 17:07 ]

[Verwijderd]

Op dinsdag 08 januari 2002 14:35 schreef hdd het volgende:

[..]

Millenium bugs bestaan niet, bullshit van de mensen die slim d8en te zijn. Een clock kan een bepaalde datum niet verteren, so what

Tuurlijk bestaan bestonden die wel.
Wel eens aan bedrijfskritische systemen gedacht die helemaal gaan flippen als de datum niet klopt?

[DeX]

Op dinsdag 08 januari 2002 14:40 schreef nelske het volgende:

[..]

Tuurlijk bestaan bestonden die wel.
Wel eens aan bedrijfskritische systemen gedacht die helemaal gaan flippen als de datum niet klopt?

Ja ook wel de Bill gates million dollar bug genoemd...
Man heeft er behoorlijk aan verdien..

(niet boeiend ik weet het)

[Engineer]

.

[ Voor 99% gewijzigd door Engineer op 13-10-2018 17:07 ]

[MikeN]

Duidelijk wordt de tweede core router nog niet gebruikt:

http://cricket.trueserver.nl/grapher.cgi?target=%2Frouter-interfaces

Als je bij M20-1 en M20-2 kijkt zie je dat alleen over M20-1 verkeer naar buiten gaat.....

[edit]
Op http://noc.trueserver.nl staat ook M20-2: Ebone & Telia, dus als M20-1 uitvalt gaat al het verkeer ineens over 2 100Mbit lijnen, wat niet echt wil lukken....

[edit2]
Ze lijken ook zwaar onder vuur te liggen: http://213.239.129.46/Core-M20/total.html

[edit3]
En toen waren ze weer down.....
Verkeer komt btw via de buitenlandse lijnen binnen, wie o wie zou het zijn?! (http://213.239.129.46/Core-M20/transit.html)

[Arnout]

weer ff downtime zo net.

pcies 30mins.

[jelmervos]

Weer

[Garfield|IA]

Op dinsdag 08 januari 2002 17:11 schreef MetHod het volgende:
weer ff downtime zo net.

pcies 30mins.

En ook Trueserver was down

[RallyPatrick]

Damn, alweer dus

[DeX]

Ja... scheidt

[Arnout]

Op dinsdag 08 januari 2002 17:13 schreef Devil_2000 het volgende:

[..]

En ook Trueserver was down

Die halen vandaag hun QoS van 99,8% niet!

[Verwijderd]

Ik ga klittebandschoenen kopen

[Kettrick]

Gaat lekker daar

[saviour]

Op dinsdag 08 januari 2002 17:14 schreef nelske het volgende:
Ik ga klittebandschoenen kopen

Ik ga jou echt wel schoppen

[IceStorm]

Op dinsdag 08 januari 2002 17:14 schreef nelske het volgende:
Ik ga klittebandschoenen kopen

Van die Power Ranger Gympen ofzo

[MikeN]

Op dinsdag 08 januari 2002 17:14 schreef nelske het volgende:
Ik ga klittebandschoenen kopen

ROFLOL

[Tomsworld]

Op dinsdag 08 januari 2002 17:14 schreef nelske het volgende:
Ik ga klittebandschoenen kopen

Nelske weeral foei

* Tomsworld krijgt af kick verschijnselen
Ik hoop dat er geen derde keer komt

Is er al wat meer bekent of het nu de core is die down gaat of zo'n zware DOS

[blackd]

Op dinsdag 08 januari 2002 14:26 schreef WHiZZi het volgende:
of de schoonmaker pleurde over de UTP kabel

Nav de downtime van zojuist (rond 5 uur)
MSN quote:

blackd says:
je kan ook niet naar trueserver
Don Remco says:
gozer struikelde over de kabels??
blackd says:
ja of netwerkkabel eruit ofzo
Don Remco says:
1 kabel, heel tweakers plat

[m-m]

ze zullen ongetwijfeld hun best doen

maar zo zonder GoT verveel ik me toch wel ff de pleuris, betrapte ik mezelf op

[MikeN]

Geloof dat trueserver er weinig aan kan doen. Ze krijgen veel meer verkeer dan normaal binnen.....

[blackd]

Op dinsdag 08 januari 2002 17:17 schreef m-m het volgende:
ze zullen ongetwijfeld hun best doen

maar zo zonder GoT verveel ik me toch wel ff de pleuris, betrapte ik mezelf op

Same problem here, welke site moet ik dan naar toe??

[DeX]

Op dinsdag 08 januari 2002 17:17 schreef m-m het volgende:
ze zullen ongetwijfeld hun best doen

maar zo zonder GoT verveel ik me toch wel ff de pleuris, betrapte ik mezelf op

En zo zijn er nog wel een hele zooi mensen die zich spontaan eenzaam voelde.
Ik zat ook om de drie seconde zonder levenslust op f5 te tikken..

[Bigs]

Lag het stiekum niet toch aan Chello? Meestal word er door trueserver namelijk meteen een mail de mailinglist opgestuurd als er iets mis is in het netwerk, zelfs al is het maar 1 minuut downtime.. nu nog niks ontvangen.

[MikeN]

Op dinsdag 08 januari 2002 17:19 schreef Bigs het volgende:
Lag het stiekum niet toch aan Chello? Meestal word er door trueserver namelijk meteen een mail de mailinglist opgestuurd als er iets mis is in het netwerk, zelfs al is het maar 1 minuut downtime.. nu nog niks ontvangen.

Daar hebben ze het VEEL te druk voor.....
En leg mij dan maar is die grafiekjes op http://213.239.129.46/Core-M20/total.html uit.....

[Verwijderd]

Ach sins gister 19.00 uur is het niet veel meer.

[BreadFan]

Op dinsdag 08 januari 2002 17:14 schreef nelske het volgende:
Ik ga klittebandschoenen kopen

ROFLOL

Of blote voeten

[Engineer]

.

[ Voor 100% gewijzigd door Engineer op 13-10-2018 17:05 ]

[blackd]

Op dinsdag 08 januari 2002 17:23 schreef hdd het volgende:

[..]

duh, 1 baksteen in een stroom generator, half NL plat

1 core router dood... je kent de rest ..

[m-m]

Op dinsdag 08 januari 2002 17:18 schreef DeX het volgende:

Ik zat ook om de drie seconde zonder levenslust op f5 te tikken..

steeds op f5 drukken, done that

[Bigs]

Op dinsdag 08 januari 2002 17:20 schreef MikeN het volgende:

[..]

Daar hebben ze het VEEL te druk voor.....
En leg mij dan maar is die grafiekjes op http://213.239.129.46/Core-M20/total.html uit.....

Mjah, keek meteen na mijn post.. idd.

[DeX]

Op dinsdag 08 januari 2002 17:31 schreef m-m het volgende:

[..]

steeds op f5 drukken, done that

En als got het dan weer doet.. leef ik weer!!

[RRX]

Op dinsdag 08 januari 2002 17:23 schreef hdd het volgende:

[..]

duh, 1 baksteen in een stroom generator, half NL plat

nee hoor, de stroom komt toch uit heel europa

[jep]

Die is iets anders huh?

[Chaos]

Ja, de DoS komt daar nadat Trueserver voor de tweede keer plat is geweest.

[Roberto]

Op dinsdag 08 januari 2002 13:57 schreef saviour het volgende:
Ik was al boos op Chello

Cu2 én T.net werkten niet.

Ik dacht dus dat de verbinding weer vreemd deed

me 2

[MikeN]

Op dinsdag 08 januari 2002 17:34 schreef j3p het volgende:
[afbeelding]

Die is iets anders huh?

Vanmiddag was het duidelijk, maar nu toch iets minder....

[Femme]

TrueServer is vandaag getroffen door een aantal DoS attacks.

Dat bepaalde mensen nu meteen 'klote TrueServer' gaan roepen vind ik buitengewoon triest. Vanaf het moment dat we op 15 juni naar TrueServer verhuisden is de verbinding van TrueServer absoluut megabetrouwbaar geweest (dit in tegenstelling tot eerdere hosters van Tweakers.net), totdat een paar k1ddies het nodig vonden om een DoS attack op het TrueServer netwerk te organiseren.

[blackd]

Op dinsdag 08 januari 2002 18:09 schreef Femme het volgende:
TrueServer is vandaag getroffen door een aantal DoS attacks.

Dat bepaalde mensen nu meteen 'klote TrueServer' gaan roepen vind ik buitengewoon triest. Vanaf het moment dat we op 15 juni naar TrueServer verhuisden is de verbinding van TrueServer absoluut megabetrouwbaar geweest (dit in tegenstelling tot eerdere hosters van Tweakers.net), totdat een paar k1ddies het nodig vonden om een DoS attack op het TrueServer netwerk te organiseren.

Ik dacht al, 3 keer de core router dood? Hmmm DoS attacks dus, da's echt . Is daar nog wat tegen te beginnen (gerechtelijk) want ik kan me voorstellen dat T.net inkomsten misloopt, TrueServer een slechte naam krijgt (maar wel onterecht) en ook inkomsten zal missen.

edit:
Moeten ze natuurlijk wel die k1ddies vinden.. hmm

[Floor-is]

Ik hoorde van Vincent dat het gaat om een IRC-war, een van de klanten van TrueServer host een IRC-server en heeft een tikkie ruzie gekregen met een stel anderen.

Het gaat om synfloods, simpele DoS-attacks en nog een aantal andere dingen waar ik geen verstand van heb. Deze komen van meer dan 400IP's als ik het goed begrepen heb, vandaar dat het allemaal wat lang duurt.

Wat voor maatregelen er verder zijn en worden genomen is mij niet bekend.

[IceStorm]

AH yippie, IRC kleuters.

[jep]

Ik zit al jaren lang op IRC en heb er veel aan te danken, daarom voel ik me ook een beetje aangesproken als je het over irc kleuters hebt

Of je het voortaan clueloze scriptkiddies wil noemen

Mvg,

J.

[Arno]

Op dinsdag 08 januari 2002 18:43 schreef IceStorm het volgende:
AH yippie, IRC kleuters.

Kill kill kill

[Wacky]

Op dinsdag 08 januari 2002 18:43 schreef IceStorm het volgende:
AH yippie, IRC kleuters.

Headshot!

[MikeN]

Op dinsdag 08 januari 2002 18:54 schreef j3p het volgende:
[.....]
Mvg,

J.

[topic=309815]

Het is idd totaal onterecht dat Trueserver nu een slechte naam krijgt....

[Verwijderd]

Op dinsdag 08 januari 2002 18:40 schreef Floris Diemel het volgende:
Ik hoorde van Vincent dat het gaat om een IRC-war, een van de klanten van TrueServer host een IRC-server en heeft een tikkie ruzie gekregen met een stel anderen.

Het gaat om synfloods, simpele DoS-attacks en nog een aantal andere dingen waar ik geen verstand van heb. Deze komen van meer dan 400IP's als ik het goed begrepen heb, vandaar dat het allemaal wat lang duurt.

Wat voor maatregelen er verder zijn en worden genomen is mij niet bekend.

Heeft dit ook mee te maken: http://futurism.system-x.org/

[Verwijderd]

Op dinsdag 08 januari 2002 14:14 schreef wasigh het volgende:

[..]

Hoezo? zijn er naast GoT _{en javahova} nog meer sites dan

www.javahova.net

[serkoon]

Op dinsdag 08 januari 2002 18:09 schreef Femme het volgende:
TrueServer is vandaag getroffen door een aantal DoS attacks.

Dat bepaalde mensen nu meteen 'klote TrueServer' gaan roepen vind ik buitengewoon triest. Vanaf het moment dat we op 15 juni naar TrueServer verhuisden is de verbinding van TrueServer absoluut megabetrouwbaar geweest (dit in tegenstelling tot eerdere hosters van Tweakers.net), totdat een paar k1ddies het nodig vonden om een DoS attack op het TrueServer netwerk te organiseren.

TrueServer maakt de keuze kiddies op haar eigen netwerk toe te laten en weet wat de gevolgen daarvan kunnen zijn. Dat ze daarmee problemen veroorzaken voor hun andere, respectabele klanten moge duidelijk zijn. Blijkbaar is dat voor hun echter niet zo belangrijk.

Andere hosters krijgen ook DoS-attacks te verduren. Ik wil dus ook niet zeggen dat TrueServer zonder kiddie-servers deze DoS niet gekregen had, maar het is imo wel dom om kiddies als klant te hebben. Je weet dat je daardoor DoSjes en ander ge-eikel kunt en zult krijgen. Je weet dat daardoor andere klanten ook in de problemen kunnen komen. Mgoed.. het is maar net waar je je prioriteiten legt...

[Crazy D]

Op woensdag 09 januari 2002 10:28 schreef serkoon het volgende:
TrueServer maakt de keuze kiddies op haar eigen netwerk toe te laten en weet wat de gevolgen daarvan kunnen zijn. Dat ze daarmee problemen veroorzaken voor hun andere, respectabele klanten moge duidelijk zijn. Blijkbaar is dat voor hun echter niet zo belangrijk.

Tja, als je zo gaat redeneren kun je iedere site wel sluiten, want ze zijn allemaal potentieel gevaarlijk. Ik weet trouwens niet of die irc server direct onder trueserver valt of nog onder een andere provider die daar host, maar dan is t.net net zo goed een 'gevaar' (wat ook al eens is gebleken).
Beetje kort door de bocht geredeneerd imho....

[Bigs]

Op dinsdag 08 januari 2002 18:54 schreef j3p het volgende:
Ik zit al jaren lang op IRC en heb er veel aan te danken, daarom voel ik me ook een beetje aangesproken als je het over irc kleuters hebt

Of je het voortaan clueloze scriptkiddies wil noemen

Mvg,

J.

Jij zit zeker op DALNet ofzo (als er volgens jou niet zoiets als IRC kiddies bestaan)

Moet je maar eens naar die link van Slakkie hierboven kijken en dan te tekst bij 8 januari. Dat soort dingen zijn op sommige netwerken orde van de dag (lamers ).

[serkoon]

Op woensdag 09 januari 2002 13:39 schreef CrazyD_at_work het volgende:

[..]

Tja, als je zo gaat redeneren kun je iedere site wel sluiten, want ze zijn allemaal potentieel gevaarlijk. Ik weet trouwens niet of die irc server direct onder trueserver valt of nog onder een andere provider die daar host, maar dan is t.net net zo goed een 'gevaar' (wat ook al eens is gebleken).
Beetje kort door de bocht geredeneerd imho....

In principe kan iedereen een DoS krijgen. Ikzelf heb de kiddies die die grafieken op die site in een paar reacties hierboven veroorzaakt hebben ook een verkeerde doos zien aanvallen omdat ze het IP-adres (één van 'mijn' dozen) verkeerd overgenomen hadden. Maar dat doet niet af aan het feit, en dat is het, dat eggdrops, irc-bouncers en daarmee samengaande kiddies een behoorlijk potentieel tot ddos vormen.

Onderlinge wars worden regelmatig met ddos-attacks uitgevochten, wat een behoorlijke rotzooi kan veroorzaken op bedrijfs- of universiteitsnetwerken die OF als ddos-zombie OF als target worden gebruikt. Dat is bij de wat langer meegaande IRC'ers algemeen bekend. Het is dan ook niet bepaald kort door de bocht om simpelweg kiddies te weren van je netwerk. Uiteraard zullen ze doorgaan met hun activiteiten, maar je bedrijfsnetwerk- en reputatie lopen een veel minder groot risico geschaadt te worden dan wanneer je ze tot je klantenkring toelaat.

[Femme]

Hier nog wat info over de attack:

Vanaf maandag 7 januari 18:00 tot dinsdag 8 januari 19:00 heeft het TrueServer netwerk onder vuur gelegen van zware (d)DoS* en SYN** attacks. Maandag was rond 21:00 de eerste vertraging te merken in het netwerk. Dit werd veroorzaakt door een SYN flood. Wij filteren per uplink op het aantal SYN's per seconde dat binnen komt; dit ter voorkoming dat de server waar het op gericht is crashed, echter kwamen er nu zoveel SYN's binnen dat normaal verkeer (waar ook SYN's voor nodig zijn) niet goed aankwam door het filter. Na de filters te hebben gedisabled werkte alles weer naar behoren.

De aard van de attack veranderde dinsdag in de ochtend. Tevens was het niet meer gericht op een host in ons netwerk, maar op onze core-router.

In overleg met uplink AboveNet is er druk gewerkt aan filters om de attack te stoppen, dit echter zonder succes; de attack kwam steeds van andere ip-adressen. Omdat het ging om packets van een bepaalde omvang moest onze router elk pakket stuk voor stuk bekijken en met ruim 92.000 packets per seconde was dat te veel gevraagd; de router werd qua besturings systeem erg traag. Routering bleef gelukkig wel gewoon doorgaan. Gezien dat de attack vooral via de AboveNet link binnen kwam werd besloten deze link te disabelen, hierna crashte de router. De aanval kwam nu van Telia en Level3. Vervolgens is de AboveNet link weer online gebracht. Vanaf de colocatie is de router vervolgens weer online gebracht, dit ging goed tot ongeveer kwart voor vijf, daarna is hij weer gecrashed. In overleg met AboveNet zijn er vervolgens hardwarematige sniffers geplaatst in het netwerk van AboveNet en is op basis van de resultaten een filter geschreven wat geimplementeerd zou worden bij AboveNet. Net toen de engineers van AboveNet hiermee klaar waren hield de attack op. Meer technische details over de aard van deze attack kunt U vragen bij Ruben.

Om dit soort dingen in de toekomst te voorkomen gaan we "risicovolle" klanten (irc en shell-hosters) verhuizen naar een speciaal netwerk. Dit zijn we nu aan het opzetten. Helemaal voorkomen kan natuurlijk nooit.

Ondertussen is er vandaag contact geweest met de afdeling computer criminaliteit in Driebergen en zal er aangifte worden gedaan. We hebben sterke aanwijzingen uit welke hoek de aanval is gekomen en zijn we bezig met het verzamelen van bewijsmateriaal. Als dit rond is zullen we de daders waarvan we vermoeden dat deze uit Nederland komen aanklagen en via een civiel gerechtelijke procedure een schadeclaim indienen.

[...] TrueServer heeft het afgelopen jaar nauwelijks downtijd gehad en we hopen dat na de zwarte dag van gisteren uw vertrouwen in onze diensten niet te veel is aangetast. We bieden u onze excuses aan en hopen dat een aanval van deze omvang niet meer voorkomt.

Hopelijk kunnen de kleuters gepakt worden.

[IceStorm]

Ik hoop voor Trueserver dat ze er geen klanten aan verliezen, ik zou het onterecht vinden.

Verder is het dan maar een kwestie van hopen dat er wat mensen gepakt/aangeklaagd gaan worden.

[Verwijderd]

Kan me eigenlijk nauwlijks voorstellen dat dit TrueServer klanten gaat kosten...

Iedereen die ook maar een beetje van 'het internet' weet, weet ook dat dit soort attacks kunnen voorkomen bij elke provider.

[jep]

Op woensdag 09 januari 2002 14:01 schreef Bigs het volgende:

[..]

Jij zit zeker op DALNet ofzo (als er volgens jou niet zoiets als IRC kiddies bestaan)

Moet je maar eens naar die link van Slakkie hierboven kijken en dan te tekst bij 8 januari. Dat soort dingen zijn op sommige netwerken orde van de dag (lamers ).

Ik zit al een jaar of 5 op DALnet ja, laatste jaren wat meer op DigaTech. Moet toegeven dat als ik op IRCnet e.d kom dat 't aantal kiddies nogal toeneemt ja

[Nielsz]

Toch gek dat een 'paar kiddies' het netwerk plat kunnen gooien

[wasigh]

Op donderdag 10 januari 2002 12:16 schreef Nielsz het volgende:
Toch gek dat een 'paar kiddies' het netwerk plat kunnen gooien

Nee zo gek is dat niet, op internet is daar genoeg info over te vinden. Zeker als je met een paar mensen bent (verschillende IP's) is het niet zo moeilijk..

[Nielsz]

Op donderdag 10 januari 2002 12:23 schreef wasigh het volgende:

[..]

Nee zo gek is dat niet, op internet is daar genoeg info over te vinden. Zeker als je met een paar mensen bent (verschillende IP's) is het niet zo moeilijk..

Ik weet hoe het werkt, en mijn servertje thuis krijgen ze idd wel plat jah, maar dat er zo'n grote down gaat

[DeX]

Op donderdag 10 januari 2002 12:29 schreef Nielsz het volgende:

[..]

Ik weet hoe het werkt, en mijn servertje thuis krijgen ze idd wel plat jah, maar dat er zo'n grote down gaat

size doesn't matter...

[wasigh]

Op donderdag 10 januari 2002 12:29 schreef DeX het volgende:

[..]

size doesn't matter...

Aan een DDos is weinig te doen, behalve hopen dat je het verkeer er snel uit kunt filteren. Grotere servers? tja dan heb je meer hosts nodig van waaruit je kunt DDoS-en.

Yahoo hebben ze een tijd geleden ook plat gekregen, en dat is ook geen kleine jongen.. Wat ze daar gedaan hadden was een Trojan Horse geschreven, die op commando ging DDos-en, dan heb je al snel veel hosts(voor zover ik weet is het zo gegaan)

[Nielsz]

Op donderdag 10 januari 2002 12:29 schreef DeX het volgende:

[..]

size doesn't matter...

size does matter; ik krijg geen topic van 100 replies als mijn servertje thuis down ligt. En ik heb ook niet echt zoveel geld als trueserver heeft, en ze zouden imo best daar beter op kunnen beveiligen. (je kan best een filter op je firewall zetten die controleert of het pakket een ping bevat van X kb ofzo, en die gewoon niet het netwerk oplaat)

[wasigh]

Op donderdag 10 januari 2002 12:36 schreef Nielsz het volgende:

[..]

size does matter; ik krijg geen topic van 100 replies als mijn servertje thuis down ligt. En ik heb ook niet echt zoveel geld als trueserver heeft, en ze zouden imo best daar beter op kunnen beveiligen. (je kan best een filter op je firewall zetten die controleert of het pakket een ping bevat van X kb ofzo, en die gewoon niet het netwerk oplaat)

De ping of death zijn servers nog amper gevoelig voor. Het nadeel van een DOS attack is dat het niet te onderscheiden is van een gewone aanvraag. Op DoS- attacks is bijna niet te beveiligen (kijk maar naar de got-terrorist)

[MoBi]

Op donderdag 10 januari 2002 12:39 schreef wasigh het volgende:

[..]

De ping of death zijn servers nog amper gevoelig voor. Het nadeel van een DOS attack is dat het niet te onderscheiden is van een gewone aanvraag. Op DoS- attacks is bijna niet te beveiligen (kijk maar naar de got-terrorist)

Het is wel te filteren, alleen het probleem is dat de router zo traag word omdat er zo'n groot aantal packetten per seconde moeten worden door zocht dat het altijd uit word gezet.

[Verwijderd]

Op donderdag 10 januari 2002 12:36 schreef Nielsz het volgende:

[..]

size does matter; ik krijg geen topic van 100 replies als mijn servertje thuis down ligt. En ik heb ook niet echt zoveel geld als trueserver heeft, en ze zouden imo best daar beter op kunnen beveiligen. (je kan best een filter op je firewall zetten die controleert of het pakket een ping bevat van X kb ofzo, en die gewoon niet het netwerk oplaat)

size doesn't always matter.

Zoals te lezen is/was ging het voornamelijk over syn-floods.
Daar heb je maar een paar (okee wat meer dan een paar ) losse hosts voor nodig om zoiets te kunnen bewerkstelligen. De size van het netwerk is dan niet echt belangrijk, eerder de machines die het regelen en het maximale aantal connecties dat deze aankunnen.
Bij syn-floods worden er onnodig verbindingen opengehouden; gevolg is dat legitieme verbindingen niet meer doorkomen.

Het heeft niet echt te maken met pings ofzo

[burne]

Op donderdag 10 januari 2002 13:07 schreef MoBi het volgende:

[..]

Het is wel te filteren,

Het is niet te filteren. Punt. Einde discussie.

[serkoon]

Op donderdag 10 januari 2002 13:45 schreef Burne het volgende:

[..]

Het is niet te filteren. Punt. Einde discussie.

Oh?

Toch vreemd.. je bedoelt zeker dat je -niet altijd- kunt filteren? Zo niet: dan heb je gewoon ongelijk

Ik heb laatst 40mbit ICMP echo request op m'n dak gekregen. Da's gewoon te filteren. Ik kreeg laatst een 10Mbit SYN op m'n dak, poorten 6660-6670 (IRC-poorten dus), da's prima te filteren. Hooguit ACK-packets zijn lastig te filteren, maar dan kun je rate-limiting toe gaan passen. (edit: niet dat je dan de te leveren dienst goed voort kunt zetten)

Daarnaast zijn die packets nauwelijks gespoofed. Je kunt dus, nadat je de verschillende netwerken hebt geïdentificeerd deze tijdelijk null-routen, of filteren op basis van source_netwerk en target_host. 't is maar net wat je wil. Alleen bij -echt- normaal verkeer van -echt- gespoofde hosts kun je niks meer doen. Maar doorgaans zijn dosjes duidelijk te onderscheiden van normaal verkeer, en daardoor per definitie te filteren.

[burne]

Op donderdag 10 januari 2002 14:03 schreef serkoon het volgende:

Ik heb laatst 40mbit ICMP echo request op m'n dak gekregen. Da's gewoon te filteren.

En op dat moment is er geen sprake van het onbereikbaar zijn van bepaalde diensten (Zoals ICMP_ECHO_REQUEST)? Je wilt niet weten hoeveel mensen direct gaan bellen als ze je core-router niet meer kunnen pingen.

Ik kreeg laatst een 10Mbit SYN op m'n dak, poorten 6660-6670 (IRC-poorten dus), da's prima te filteren. Hooguit ACK-packets zijn lastig te filteren, maar dan kun je rate-limiting toe gaan passen. (edit: niet dat je dan de te leveren dienst goed voort kunt zetten)

En je IRC-server gaf geen hik? (Dat geef je zelf al aan.)

Ik kreeg 60-75 Mbit aan gespoofd verkeer naar m'n hoofd. Normale source-poorten, normale destinations. (21, 22, 25, 80 en 110) Verder niets vreemds op aan te merken, los van het tempo en de lengte (alles 66 bytes lang, en bijna 100.000 packets per seconde.)

Filteren kan prima. De enige consequentie is dat wat je filtert niet meer werkt.

Als (D)DoS-en met een firewall op te vangen zouden zijn zouden (D)DoS-attacks niet zo vaak voorpaginanieuws zijn.

En wat jij doet als iemand je 100Mbit vult met verkeer wil ik ook nog wel eens horen. Er komt 100Mbit binnen. Jij filtert 99.999% weg. Vervolgens zit je 100Mbit nog altijd vol met verkeer. Wat ben je dan opgeschoten met je gefilter? Je hebt nog altijd een verzadigde link en nagenoeg geen connectivity. Ik herroep m'n statement. Filteren kan, maar is zinloos.

Daarnaast zijn die packets nauwelijks gespoofed.

Dat is nergens beweerd, en ook niet juist.

Alleen bij -echt- normaal verkeer van -echt- gespoofde hosts kun je niks meer doen. Maar doorgaans zijn dosjes duidelijk te onderscheiden van normaal verkeer, en daardoor per definitie te filteren.

1: gespoofd verkeer filteren is zinloos.
2: filteren doet niets aan verzadiging van links.
3: zelfs niet-gespoofd verkeer op een niet-verzadigde link is vaak niet goed te filteren. Statefull inspection van 160Mbit verkeer via vier transits en een amsix-verbinding gaat heel wat firewalls kilometers boven het petje. Roepen dat een draytek het wel even op zal lossen is nonsens.

--

Ruben

[Pc123]

Een paar dagen geleden viel me ook al op dat alle sites die bij trueserver gehost zijn bijna niet werkten.

edit:
Foutje Niet goed naar de datum gekeken, dit topic is dus al een paar dagen oud

[serkoon]

Op donderdag 10 januari 2002 16:51 schreef Burne het volgende:

En op dat moment is er geen sprake van het onbereikbaar zijn van bepaalde diensten (Zoals ICMP_ECHO_REQUEST)? Je wilt niet weten hoeveel mensen direct gaan bellen als ze je core-router niet meer kunnen pingen.

Daar zijn dan weer aparte rules op te bouwen, als je dat wil.

En je IRC-server gaf geen hik? (Dat geef je zelf al aan.)

Ik draaide op die doos geen ircd.

Ik kreeg 60-75 Mbit aan gespoofd verkeer naar m'n hoofd. Normale source-poorten, normale destinations. (21, 22, 25, 80 en 110) Verder niets vreemds op aan te merken, los van het tempo en de lengte (alles 66 bytes lang, en bijna 100.000 packets per seconde.)

66 bytes lang, dus filterbaar. Okee, je loopt dan een (groot?) risico dat je normale packets ook filtert.

En wat jij doet als iemand je 100Mbit vult met verkeer wil ik ook nog wel eens horen. Er komt 100Mbit binnen. Jij filtert 99.999% weg. Vervolgens zit je 100Mbit nog altijd vol met verkeer. Wat ben je dan opgeschoten met je gefilter? Je hebt nog altijd een verzadigde link en nagenoeg geen connectivity. Ik herroep m'n statement. Filteren kan, maar is zinloos.

Als als als.. Wat als de router waar jij geen besturing op uit kunt oefenen plat gaat, wat als je switch dood gaat? Daar gaat het hier dus niet om. Ik zeg simpelweg dat ddosjes prima te filteren zijn (met een kanttekening, zie volgende quote), daar heeft een volle link niks mee te maken. (behalve dan dat hoe eerder er gefilterd wordt, hoe minder links vol zullen raken)

Ik zei iets over het nauwelijks gespoofed zijn van ddosjes
Dat is nergens beweerd, en ook niet juist.

Niet juist? Toch vreemd.. hoe kan het dan dat ik bij een -aantal- ddosjes alleen de laatste 8 bitjes van het source_ip zag veranderen? Hiermee zeg ik dus niet dat alle ddos'es niet volledig gespoofed zijn, laat dat duidelijk zijn.

1: gespoofd verkeer filteren is zinloos.

Zolang het niet totaal willekeurig gespoofed is niet.

2: filteren doet niets aan verzadiging van links.

Hoe eerder gefilterd, hoe minder last van volle lijnen je hebt. Vaak gaan ddosjes ook helemaal niet om volle lijnen maar puur om pps.

3: zelfs niet-gespoofd verkeer op een niet-verzadigde link is vaak niet goed te filteren. Statefull inspection van 160Mbit verkeer via vier transits en een amsix-verbinding gaat heel wat firewalls kilometers boven het petje. Roepen dat een draytek het wel even op zal lossen is nonsens.

Roepen over stateful inspection op een router is sowieso nonsens, gelukkig ben ik daar niet over begonnen

[El Jefe]

En toen was GoT weer brak..
Hele middag al

[DeX]

Op vrijdag 11 januari 2002 15:54 schreef Webgoodie het volgende:
En toen was GoT weer brak..
Hele middag al

Hele middag = 45 minuten?

[Verwijderd]

Vanmiddag niet zo heel veel last van gehad maar hij lag er net wel ff helemaal uit jah...

[El Jefe]

Op vrijdag 11 januari 2002 15:55 schreef DeX het volgende:

[..]

Hele middag = 45 minuten?

Mwoh, sinds 14:40 = 1 uur 20 minuten ofzo..
Valt op zich nog wel mee jah..

[bazs2000]

GoT ging plat, heeft het daarna weer 3 minuten gewerkt, en daarna ging het weer plat.

Misschien dat kees meer weet.