Een DDoS 'uitgezongen', en dan, aangifte doen ?

[JumpStart]

Dit verhaal moet helaas in heel algemene termen blijven, want het is een waargebeurd verhaal (helaas) en ik wil hier niet meer details weggeven dan nodig.

Om kort te gaan komt het er op neer dat er een webserver (die ergens bij een hoster in een rack hangt) nu al een aantal keer is platgelegd door een remote DDoS flood.

Vanwege een aantal bedreigingen, verdekte toespelingen, nauwkeurige voorspellingen van wanneer het zou gaan gebeuren en het opscheppen erover weten we ook wie ervoor verantwoordelijk is. Zeer waarschijnlijk een 13-18 jarige zeer puberale scriptkid, die bij hack.box.sk veel gelezen heeft over trojans en exploits... Of die persoon heeft vriendjes die beschikking hebben over een setje van backdoors voorziene servers.

We hebben dus een usernaam, een voornaam, een IP adres en op basis van dat laatste z'n ISP en woonplaats. Maar de bewuste ISP van die persoon geeft geen gegevens uit en onderneemt niets want de floods waren niet afkomstig van het netwerk van die ISP, dus hoeven ze er niets tegen te doen.

Wat we ondertussen ook hebben is een paar honderd euro aan schade, aan opgevreten bandbreedte, plus een hoster die niet echt blij is vanwege de overlast voor de andere klanten op de colo.

Allemaal niet zo leuk dus. Dat laatste is een understatement, want het is echt zwaar klote Ergens in dit land zit een sadist die het leuk vindt om persoonlijke redenen een server plat te leggen (die vervolgens door de ISP gedetached wordt tot de flood voorbij is) waar toch wel rond de honderd gebruikers de dupe van zijn.

Wat kan hier aan gedaan worden op het gerechtelijke vlak ? De volgende DDoS, die waarschijnlijk komt op het moment dat er weer een handjevol trojans 'geregeld' zijn.

Aangifte doen ? Zo ja, doe je dat dan gewoon bij je plaatselijke politiekantoor ? Of is er een afdeling Digitale Recherche ? (Die bestaat, maar ik heb daar weinig concreets over kunnen vinden, alleen maar verwijzingen naar, geen website oid.) Of een Taskgroup Computercriminaliteit ?

Dus, wat voor (gerechtelijke) stappen kan je tegen zo'n persoon ondernemen, terwijl je in de eerste plaats een gerechtelijk dwangbevel nodig zal hebben om bij de ISP de persoonsgegevens op te vragen van de persoon die bij dat IP hoort.

[DizzyWeb]

Heb wel ooit een heleboel info over computercriminaliteit gehad enzo, en ik weet dat er echt concreet aan gewerkt word, maar waar je dan wezen moet?

Je kan op zijn minst bij de lokale politie informeren waar je wezen moet...

[trankilo]

Neem even contact op met je advocaat en laat die de zaak met de KLPD bespreken. Die hebben daar een speciaal team voor.

[GA!S]

Kan jouw host niets voor je betekenen? Lijkt me meer een zaak voor hun dan voor jou persoonlijk.

[Verwijderd]

www.cybercrime.gov



*edit: dan naar "How to Report Internet-Related Crime"

[serkoon]

Naar de KLPD subteam "Digitaal Rechercheren" zien te krijgen. Die zijn druk bezig met DDoS-zaken, wellicht dat jouw informatie ze best wel eens van pas komt.

Verwacht er niet te veel van trouwens.

[intert0y]

Volgens mij kun je gewoon aangifte doen bij de KLPD. Maar wat is dit voor in debielerig gedrag dat je eerst een draadje op GoT gaat starten. Bel gewoon naar het lokale politiebureau en vraag daar om raad.

ps. sorry voor mijn botte opmerking.

[Wekkel]

Mij lijkt de beste weg inderdaad even vissen bij de politie naar een gespecialiseerd team hiervoor. De 'gewone' agent zal wel weinig kunnen maken van je verhaal en niet warm aangelopen aan de juiste touwtjes gaan trekken. Futsel dat nummer van de digitale strijdkrachten uit de vingertjes van de 'gewone' politie en je hebt een directe ingang. Verzamel ondertussen zoveel mogelijk (schriftelijke) bewijzen en bijzaken en maakt een chronologisch en sluiten verhaal van de gebeurtenissen. Dat helpt de wederpartij met het snel oppakken van het verhaal.

[GA!S]

intert0y schreef op 24 september 2002 @ 09:53:
Volgens mij kun je gewoon aangifte doen bij de KLPD. Maar wat is dit voor in debielerig gedrag dat je eerst een draadje op GoT gaat starten. Bel gewoon naar het lokale politiebureau en vraag daar om raad.

ps. sorry voor mijn botte opmerking.

Wat een onzin zeg, kan me prima voorstellen dat hier mensen zitten die heel wat beter weten wat te doen dan het lokale politiebureau. Daarbij is dit voor de search weer een goede aanvulling om later op terug te komen. Er zullen meer users met dergelijke problemen te maken krijgen / hebben.

Vind het echt compleet overbodig dat je op deze posting gaat lopen flamen, er zijn echt een hoop postings die het meer verdienen om er vraagtekens bij te zetten dan deze.

ps. sorry, moest ff

[intert0y]

Ik zeg niet dat het volledig overbodig is maar waarom zou je niet eerst informatie proberen in te winnen bij de desbetreffende instantie. Ik bedoel je weet dat je bij de KLPD moet wezen ofdat zij je dan weer doorverbinden naar een of andere digitale recherge (of whatever) dat is nog tot daar aan toe.

Maar je komt meestal toch pas hier als je elders ben uitgekeken en echt extra hulp (en informatie nodig hebt?)

[GA!S]

intert0y schreef op 24 september 2002 @ 10:03:
Maar je komt meestal toch pas hier als je elders ben uitgekeken en echt extra hulp (en informatie nodig hebt?)

Of omdat je geen idee hebt waar je moet beginnen met zoeken...

[Koffie]

Zullen we ons nu weer met z'n allen over het vraagstuk buigen, ipv te discussieren of deze post wel op de juiste plaats staat (daar beslis ik nog altijd over) ?

Als je een goed idee hebt wie/wat het is, en je hebt naast logfiles ook nog andere harde bewijzen, dan zou ik eens met een advocaat gaan bellen (desnoods misschien met je rechtsbijstand ?)

Of als je het adres weet, laat je advocaat een leuk briefje met kostenderving en schadeposten sturen met het vriendelijk doch uiterst dringend verzoek dat even te storten op je rekening.

[JumpStart]

Koffie schreef op 24 september 2002 @ 10:41:
Zullen we ons nu weer met z'n allen over het vraagstuk buigen, ipv te discussieren of deze post wel op de juiste plaats staat (daar beslis ik nog altijd over) ?

Als je een goed idee hebt wie/wat het is, en je hebt naast logfiles ook nog andere harde bewijzen, dan zou ik eens met een advocaat gaan bellen (desnoods misschien met je rechtsbijstand ?)

Of als je het adres weet, laat je advocaat een leuk briefje met kostenderving en schadeposten sturen met het vriendelijk doch uiterst dringend verzoek dat even te storten op je rekening.

Ja, dit is dus de spreekwoordelijke koevoet, die in de dichtgespijkerde houten doos zit: Je kan er niet bij, want de doos moet je open maken met iets wat erin zit...

Er zijn IRC logs met verkapte toespelingen en that's it. En er is een motief. En er is dus een IP adres, een nickname, een voornaam en een plaatsnaam. Niet genoeg om een advocaat een brief te laten sturen. Want: erhh, naar wie, en waar woont hij ?

Dus, eerst aangifte doen, dan een gerechtelijk dwangbevel verkrijgen om bij de ISP de naams- en adresgegevens te verkrijgen, en dan de brief naar de dader. Dat is een nogal onzekere gang van zaken omdat alles hangt op fragmenten van logs met daarin suggesties en toespelingen, meer niet.

Dat is nogal wat, voor een niet-commerciele website die het moet hebben van gesponsorde bandbreedte en absoluut nul aan inkomsten...


( Overigens, de reden dat ik niet meteen naar de politie gestapt ben is omdat ik niet zelf eigenaar/verantwoordelijke ben voor die webserver. Ik probeer alleen erachter te komen wat de gebruikelijke procedure is. )

[Koffie]

Maar je hebt toch wel logfiles van de ddos aanval ?

[intert0y]

Als er alleen maar indirecte toespelingen zijn dan geef ik je weinig kans. Ze kunen dan weliswaar zien vanwaar de DDOS is gekomen maar ze zullen toch echt tot de bron moeten zien door te dringen voordat ze ook maar wat kunnen.

Een advocaat op deze, door jou verdachte, persoon sturen zou ik niet doen want dan kan hij je volgens mij aanklagen wegen smaad want je hebt geen enkel bewijs. (alleen maar vage aanwijzingen) Mocht het tot een rechtzaak o.i.d. komen dan ben jij nog steeds diegene die zijn schuldigheid zal moeten aantonen.

Wel zou ik aangifte doen van dit geval dan is in ieder geval je aanval bekend en kan er zodra er wellicht een keer toch een GOED spoor wordt achtergelaten en de dader gepakt kan worden.

Ik vraag met trouwens ook af wat de geldigheid van een IRC-log is, ik denk helemaal niks eigenlijk. Een irc log heb je zo in elkaar geflanst natuurlijk. Je moet met keiharde logs van je webserver zien te komen en deze moeten matchen met die van de provider van waar de aanval heeft plaatsgevonden.

Is er geen meldpunt computercriminaliteit? (maar toch ik zou eerst eens even naar een politiebureau bij je in de buurt bellen en gewoon even vragen)

[Jorn]

intert0y schreef op 24 september 2002 @ 11:16:Is er geen meldpunt computercriminaliteit? (maar toch ik zou eerst eens even naar een politiebureau bij je in de buurt bellen en gewoon even vragen)

Jah, die is er, weet alleen de naam niet.

[Verwijderd]

met een log van een ddos aanval kan je de dader ook niet aanwijzen hoor...
zijn ip (of andere gegevens) staan er niet bij...

ze zouden in de logs van de isp van de dader moeten kijken of er connecties zijn geweest naar de pc(s) die die aanvel hebben uitgevoerd

[sh4d0wman]

ga naar CERT NL zal ff een linkje zoeken, die kunnen je wel helpen.

edit: http://cert-nl.surfnet.nl/
weet alleen niet of ze helpen als je niet bij surfnet zit, vroeger was dat anders geregeld

[JumpStart]

Koffie schreef op 24 september 2002 @ 11:13:
Maar je hebt toch wel logfiles van de ddos aanval ?

Als het goed is wel. (Maar, zoals ik al aangaf, ik ben geen beheerder, ik probeer voor iemand uit te zoeken wat er moet gebeuren / gedaan kan worden.)

Maar wat schiet je op met de logs, behalve dan aantonen dat er een remote Distributed Denial of Service is geweest ? Dan heb je een lijstje met een handjevol ongepatchte IIS servers, verspreid over meerdere landen, die samen die webserver hebben lopen flooden. Dan nog kan je niet terugkomen bij de aanstichter van de ellende.

[intert0y]

Precies dus dan heb je vervelend genoeg volgens mij gewoon GEEN CASE!

en ik zou absoluut niet proberen de vermoedelijke dader terug te pakken of wat dan ook, het beste kun je gewoon niks doen en hopen dat er niks verder gebeurt omdat je er geen aandacht aan besteed.

Ook hoop ik niet dat een eventuele dader ook op GOT komt en dit draadje leest want dat zal hem alleen maar bevallen om te horen dat het 100en EURO's heeft gekost. Kortom geen aandacht aan geven lijkt mij de beste remedie. (maar wel aangifte doen, elke keer dat het gebeurt hoe meer gegevens hoe eerder ze wellicht somehow toch wat kunnen doen en als uiterste redmiddel kan de GOT-knokploeg wellicht worden opgetrommeld).

SUCCES!

[JumpStart]

sh4d0wman schreef op 24 september 2002 @ 11:27:
ga naar CERT NL zal ff een linkje zoeken, die kunnen je wel helpen.

edit: http://cert-nl.surfnet.nl/
weet alleen niet of ze helpen als je niet bij surfnet zit, vroeger was dat anders geregeld

die afkomstig lijken te zijn van de SURFnet klanten of waarbij SURFnet klanten het slachtoffer zijn geworden.

Helaas, niet dus.

Verwijderd schreef op 24 september 2002 @ 11:24:
met een log van een ddos aanval kan je de dader ook niet aanwijzen hoor...
zijn ip (of andere gegevens) staan er niet bij...

ze zouden in de logs van de isp van de dader moeten kijken of er connecties zijn geweest naar de pc(s) die die aanvel hebben uitgevoerd

Die kans is maar klein. Je hebt ook goed kans dat het via een 3e computer is gegaan, namelijk via een verborgen IRC kanaal: de besmette IIS servers connecten daar naartoe, de persoon die de aanval start ook, en geeft op dat kanaal het IP adres dat geflood moet worden... Lees eventueel dit er maar op na: http://grc.com/dos/grcdos.htm

[Jorn]

Ik zat te denken he,

Weet je wel zeker dat je zijn ip hebt?
Hij is waarschijnlijk wel zo slim dat hij zelf niet meedoet aan het Ddossen, dat laat ie de besmette servers wel doen.
Als dit zo is heb je alleen de ip's van die betreffende servers.
En dat zou genaaid zijn!

[JumpStart]

j_iscool schreef op 24 september 2002 @ 11:43:
Ik zat te denken he,

Weet je wel zeker dat je zijn ip hebt?
Hij is waarschijnlijk wel zo slim dat hij zelf niet meedoet aan het Ddossen, dat laat ie de besmette servers wel doen.
Als dit zo is heb je alleen de ip's van die betreffende servers.
En dat zou genaaid zijn!

Het IP adres dat bekend is komt uit een andere 'bron' dan die DDoS. De persoon die claimt het gedaan te hebben is bekend, en dus is er uit geheel andere logs zijn IP gevist. Laten we het daar maar op houden.

[Verwijderd]

[...]


Die kans is maar klein. Je hebt ook goed kans dat het via een 3e computer is gegaan, namelijk via een verborgen IRC kanaal: de besmette IIS servers connecten daar naartoe, de persoon die de aanval start ook, en geeft op dat kanaal het IP adres dat geflood moet worden... Lees eventueel dit er maar op na: http://grc.com/dos/grcdos.htm

ja idd..
je zal zijn pc moeten omspitten om wettelijk verantwoorde bewijzen te vinden..
maar jah, zo ver kom je nooit

[Verwijderd]

Lekker vaag allemaal!
Als jij geen beheerder bent.... Wat is dan jou rol in deze?
Het zal een beslissing van de directie moeten zijn om tot aangifte over te gaan of niet....
En buiten dat..... Ik zou dit hele verhaal ook kunnen omdraaien....
Misschien ben jij de attacker wel, en ben jij op zoek naar een manier om je reet in te dekken omdat je bang bent dat ze jou pakken........
en zo kan ik nog wel ff doorgaan......
Ik zeg niet dat 't zo is! maaaaar......

Dus als het bedrijf het wil melden kunnen ze gewoon naar de lokale politie stappen, en als die er geen knowhow voor in huis hebben, kom je vanzelf bij de KLPD terecht!
En anders stap je toch rechstreeks naar de KLPD.... telefoontje is voldoende om te weten of je bij je eigen politiebureau een aangifte moet maken of dat dat ook bij hun kan...

Het heeft verder helemaal geen zin om te speculeren.... gewoon alle info die je hebt overdragen en als ze meer willen hebben waar jullie niet aan gedacht hadden vragen ze het echt wel!

En ik kan je alvast voor 1 ding waarschuwen:

De persoon die claimt het gedaan te hebben is bekend

is daar ook werkelijk bewijs van? zijn er ook getuigen? heeft ie dat op papier gezet?
Mischien heeft ie het hele verhaal wel verzonnen.......

en dus is er uit geheel andere logs zijn IP gevist. Laten we het daar maar op houden.

en

Het IP adres dat bekend is komt uit een andere 'bron' dan die DDoS

Kijk.... dit wordt leuk......
Als die info niet uit het eigen bedrijf komt, kan je wel eens een probleem krijgen......

a) onrechtmatig verkregen bewijsmateriaal
- zaak wordt geseponeerd wegen onvoldoende bewijs.
b) aanklacht tegen het bedrijf wegens schending van de privacy.....
- van de vermeende verdachte
En geloof mij..... zijn advocaat zal er dankbaar gebruik van maken voor een schadevergoeding, omdat de meeste bedrijven best wel in de publiciteit willen staan, maar dan toch niet op deze manier......!!

You get my point??

Ja daar had je natuurlijk nog helemaal niet aan gedacht he.....

Daarom, laat dit soort onderzoeken over aan diegene die er verstand van hebben!

[Verwijderd]

goed punt

[JumpStart]

Verwijderd schreef op 24 september 2002 @ 13:01:
[..]
You get my point??

Ja daar had je natuurlijk nog helemaal niet aan gedacht he.....

Daarom, laat dit soort onderzoeken over aan diegene die er verstand van hebben!

Dat je een aantal belangrijke dingen aanstipt geeft je nog geen recht om op de man te spelen in plaats van op de bal, dank je wel

Een aantal dingen had je gewoon kunnen lezen trouwens: mijn rol in deze is (om te proberen) er achter te komen hoe er gehandeld dient te worden. Uitvoering is aan anderen. Directie ? Bedrijf ? Het gaat in dit geval om een niet-commerciele website, gerund door vrijwilligers op gesponsorde bandbreedte. Hier zit geen B.V. of N.V. of V.o.F. achter. Er kan niet even naar de bedrijfsadvocaat gestapt worden voor verdere afhandeling.

Als je mij niet geloofwaardig vindt, behandel het dan maar als een geheel hypothetische situatie. Uiteindelijk gaat het erom dat ik graag wil weten hoe er in een situatie als deze gehandeld dient te worden. En als, gebaseerd op bovenstaande gegevens, dat zou betekenen: er dient niet gehandeld te worden, dan heb ik daar ook mee te leven.

Als je hier op PNS niet eens meer terecht kan met vragen, waar IS dit forum dan voor ?

[Verwijderd]

oke, daar gaan we weer.....
Ik speel wel op de bal, maar wil je er wel ff voor waarschuwen dat je straks geen blunders begaat die je wel eens veel geld zouden kunnen gaan kosten.....
Oke, een niet-commerciele website.....
En je staat gehost.... dan ga ik er maar ff voor het gemak van uit dat je op een gesharde host staat.... (maakt trouwens toch al helemaal niet uit of je nu wel of niet op een gesharde host staat)
Wat zegt de hosting-provider ervan?
Want als ze de host van jou plat gooien heb je een hele grote kans dat er dus nog meer klanten gedupeerd zijn....
Gaan die nog ectie ondernemen?
Danwel technisch, danwel een aangifte doen?
Zelfs als ze dat wel doen, zou ik nog steeds aangifte doen!
En voor een aangifte heb je helemaal geen advocaat nodig!
Als diegene gepakt wordt en hij moet voorkomen, pakt het OM hem wel aan!
Hij heeft nl. de wet overtreden en is het dus geen civiele zaak!
Na de veroordeling kan je er altijd nog een civiele zaak van maken voor een schadevergoeding, voor zover je deze nog niet hebt gekregen in de rechtzaak zelf, maar dan gaat het je wel geld kosten... of je moet verzekerd zijn voor rechtsbijstand....

[SithWarrior]

uhu dit is geen verzonnen verhaaltje, dis RL stuff en die vage verhaaltjes van jou heb ie natuurlijk niks aan. Onderzoeken door gene die er verstand van heb, je dat vraagt ie toch ook hoe je dan moet handelen....

[NuKeFaCe]

Ander ip nemen

[JumpStart]

NuKeFaCe schreef op 24 september 2002 @ 14:14:
Ander ip nemen

Het gaat om een website, met een domeinnaam. Veranderen van IP helpt dan NIETS, want die website heeft geen nut als 'ie verborgen is. Dan kan je 'em net zo goed opdoeken.

[SithWarrior]

uhu.. et zijn onder meer webservers dus het simpele ping naar url zou al genoeg zijn om nieuwe ip te zien dus lijkt me niet echt oplossing

[Jorn]

NuKeFaCe schreef op 24 september 2002 @ 14:14:
Ander ip nemen

Juist jah!
En dan vullen ze gewoon de domeinnaam in!
Handig!

Een 2e ip icm met een router/loadbalancer kan wel, is denk ik alleen veel te duur omdat je aangeeft dat het allemaal gesponsord is!

[Jester]

NuKeFaCe schreef op 24 september 2002 @ 14:14:
Ander ip nemen

Dat heeft dus totaal geen nut, je attackt op DNS-naam (wordt automatisch vertaald naar het bijbehorende ip...)

[ Voor 0% gewijzigd door Jester op 24-09-2002 14:21 . Reden: quatropost ? ]

[JumpStart]

j_iscool schreef op 24 september 2002 @ 14:19:
[...]
[...]

Een 2e ip icm met een router/loadbalancer kan wel, is denk ik alleen veel te duur omdat je aangeeft dat het allemaal gesponsord is!

Een van de eerdere DDoS aanvallen, via een aantal gehackte ISS bakken op buitenlandse universiteiten leverde een flood op van 100 mbit continu, met een eenmalige piek van bijna 400 mbit. Daar is geen load balancer tegenop gewassen.

[Jorn]

JumpStart schreef op 24 september 2002 @ 14:24:
[...]


Een van de eerdere DDoS aanvallen, via een aantal gehackte ISS bakken op buitenlandse universiteiten leverde een flood op van 100 mbit continu, met een eenmalige piek van bijna 400 mbit. Daar is geen load balancer tegenop gewassen.

Klopt, ik denk ook dat je er 2 moet hebben, met 2 verschillende ip's.
En dan zoiets als wanneer er Ddos op de ene binnenkomt dat ie alles dicht gooid, en de andere het op een ander internetip overneemt, maar in de praktijk kan dit denk ik niet!

Ddos is nl (nog) niet te voorkomen/beschermen!

[Booster]

Mensen die niet weten wat ze in zo'n geval *ongeveer* moeten doen zouden niet moeten hosten imho.

Maargoed, misschien handig om te vragen of de betreffende colocater filters in hun firewall wil aanbrengen. (aannemende dat ze iets van een firewall hebben)

En tja, op rechtsgebied weet ik er niet enorm veel vanaf. Uiteraard moet je alles bewaren aan logs en ALLES wat je nog hebt van deze DDoS aanvallen.

[Verwijderd]

Het dataverkeer bestaat hoogst waarschijlijk gewoon uit loze icmp pings die achter elkaar met veel bytes binnenkomen.

Je zou dus kunnen vragen aan het bedrijf waarbij jij je site host om zei icmp pings willen blokken, als dat gebeurt wordt het dataverkeer er waarschijlijk bij hun snelle routers er al uitgefilterd...

De pakketjes komen niet aan, de hosting provider heeft minder last van dataverkeer op hun eigen netwerkt, minder belasting van de servers, jij hoeft je dataverkeer niet te betalen en al de sites blijven up.

Logisch gevolg is dat er gewoon helemaal niet meer gedossed word en dat is dan natuurlijk de beste oplossing, tenzij je hosting provider lekker aan jou wil verdienen en zelf al die data verkeer genereert

Ik weet natuurlijk niet of dit een beetje makkelijk te blocken is maar zelfs een Draytek 2200E kan het, iig even je hosting provider bellen dus...

iig succes

[jep]

Verwijderd schreef op 24 september 2002 @ 15:40:
Het dataverkeer bestaat hoogst waarschijlijk gewoon uit loze icmp pings die achter elkaar met veel bytes binnenkomen.

Hoezo? Kan zoveel zijn, icmp gebeurt maar weinig.

Je zou dus kunnen vragen aan het bedrijf waarbij jij je site host om zei icmp pings willen blokken, als dat gebeurt wordt het dataverkeer er waarschijlijk bij hun snelle routers er al uitgefilterd...

Wie gaat dat transit-verkeer betalen? Provider zou wel gek zijn.

De pakketjes komen niet aan, de hosting provider heeft minder last van dataverkeer op hun eigen netwerkt, minder belasting van de servers, jij hoeft je dataverkeer niet te betalen en al de sites blijven up.

Dataverkeer wat voor jou bestemd is, behoor je ook te betalen.. denk je niet? Lijkt me niet erg slim van die provider als ze alles voor je betalen.

Logisch gevolg is dat er gewoon helemaal niet meer gedossed word en dat is dan natuurlijk de beste oplossing, tenzij je hosting provider lekker aan jou wil verdienen en zelf al die data verkeer genereert

Ik weet natuurlijk niet of dit een beetje makkelijk te blocken is maar zelfs een Draytek 2200E kan het, iig even je hosting provider bellen dus...

iig succes

Jij kan DDoS attacks tegen houden met jou Draytek? Dan ben jij een héle knappe jongen.

[Verwijderd]

Jij kan DDoS attacks tegen houden met jou Draytek? Dan ben jij een héle knappe jongen.

Dat natuurlijk ook niet, maar me router zorgt er wel voor dat ik niet te pinge ben, de download pakketjes komen natuurlijk wel aan maar replye gaat ie natuurlijk niet, dood door een ddos attack ga ik natuurlijk wel omdat me hele download vol zit... Over me eige netwerk (switched 100Mbit langs draytek) gaan die pakketjes ook niet hoor, worden er gewoon uitgefilterd...

Maar als de provider gewoon alle data die langs hun router komt filteren op bepaalde pakketjes en die er tussen uithalen zullen er geen pakketjes meer op zijn host aankomen en als hosting bedrijf mag je toch wel voor een beetje stabiliteit zorgen... En ICMP gebeurt veel en als dat het niet is moet het toch makkelijk na te gaan zijn wat het dan wel is...

[Jorn]

jep schreef op 24 september 2002 @ 15:47:
[...]

Hoezo? Kan zoveel zijn, icmp gebeurt maar weinig.

[...]

Wie gaat dat transit-verkeer betalen? Provider zou wel gek zijn.

[...]

Dataverkeer wat voor jou bestemd is, behoor je ook te betalen.. denk je niet? Lijkt me niet erg slim van die provider als ze alles voor je betalen.

[...]

Jij kan DDoS attacks tegen houden met jou Draytek? Dan ben jij een héle knappe jongen.

Als ik me niet vergis an Ddos over elke openstaande poort, het houd gewoon in dat er nutteloze data verstuurd word, en er zijn weinig programma's die daar goed mee om kunnen gaan.

[Verwijderd]

Topicstarter: Post anders een aantal ip's van ddos bakkies, zijn we er zo uit wat voor dataverkeer te versturen en of het dus tegen te houden is voor je hosting provider...

[Quinie]

JumpStart schreef op 24 september 2002 @ 11:39:
[...]
http://grc.com/dos/grcdos.htm

[...]

Je komt zelf met deze link waarin veel nuttige info staat.
Heb je b.v. al uitgezocht wat er wordt gebruik bij de DoS aanval.

[jep]

j_iscool schreef op 24 september 2002 @ 15:56:
[...]


Als ik me niet vergis an Ddos over elke openstaande poort, het houd gewoon in dat er nutteloze data verstuurd word, en er zijn weinig programma's die daar goed mee om kunnen gaan.

Ik weet wel wat 't is, krijg dagelijks 100mbit op mn neusje..

Maar, een DDoS is meestal niet op open ports gericht, gewoon een hoop UDP/SYN crap naar een ip'tje.

[jep]

Verwijderd schreef op 24 september 2002 @ 15:55:
[...]

Dat natuurlijk ook niet, maar me router zorgt er wel voor dat ik niet te pinge ben, de download pakketjes komen natuurlijk wel aan maar replye gaat ie natuurlijk niet, dood door een ddos attack ga ik natuurlijk wel omdat me hele download vol zit... Over me eige netwerk (switched 100Mbit langs draytek) gaan die pakketjes ook niet hoor, worden er gewoon uitgefilterd...

Scheelt je dus de helft, want ICMP verkeer komt dan wel binnen, maar antwoord niet meer. In 't geval van een icmp attack scheelt dat dus inderdaad een beetje..

Maar als de provider gewoon alle data die langs hun router komt filteren op bepaalde pakketjes en die er tussen uithalen zullen er geen pakketjes meer op zijn host aankomen en als hosting bedrijf mag je toch wel voor een beetje stabiliteit zorgen... En ICMP gebeurt veel en als dat het niet is moet het toch makkelijk na te gaan zijn wat het dan wel is...

En je ISP de schade laten betalen? Transit verkeer kost geld.

[Jorn]

Verwijderd schreef op 24 september 2002 @ 15:55:Maar als de provider gewoon alle data die langs hun router komt filteren op bepaalde pakketjes en die er tussen uithalen zullen er geen pakketjes meer op zijn host aankomen en als hosting bedrijf mag je toch wel voor een beetje stabiliteit zorgen... En ICMP gebeurt veel en als dat het niet is moet het toch makkelijk na te gaan zijn wat het dan wel is...

Als je een bak gecolocate hebt staan word er niet gefilterd, daar moet je zelf voor zorgen.
Ik denk ook niet dar een coreswitch gemaakt is om te filteren.

[vargo]

Dat artikel op GRC.com is zeerzeker een aanrader! Lees dat!
Een distributed DOS attack is erg moeilijk tegen te gaan. Probleem is dat de aanvaller vaak gebruik maakt van exploits op andere systemen om jou aan te vallen. Ook is het zeer moeilijk om uit te zoeken wie je heeft aangevallen en te bewijzen (dus niet met een irc log).
Wat ik zou doen is je logfiles naspitten om te kijken waar de aanvallen vandaan komen.
Benader die personen voor medewerking (eventueel met dreiging van schadeclaim???) en probeer via hun logfiles uit te zoeken wie je heeft aangevallen.
Hiermee kan je aantonen wie het is geweest en heb je bewijs voldoende voor justitie om iets hiertegen te doen.

Nogmaals: lees het GRC artikel!

[mavink]

Anyway, als je echt aangifte wilt doen moet je waarschijnlijk bij de KLPD zijn, en dan de Groep Digitaal Rechercheren. Die zijn in dit soort dingen "gespecialiseerd". En als die je niet kunnen helpen weten ze vast wel wie wel, en kunnen ze je ook helpen met eventueel verzamelen van bewijsmateriaal etc.

[TromboneFreakus]

Het topic is wat ouder, maar toch even...

Ik maak gebruik van shared hosting en mijn domain ligt nu plat (dus een heleboel domains, maar goed...). Nu vraag ik me af: heeft iemand in die situatie al eens voor zichzelf aangifte gedaan, of werd dat niet geaccepteerd?

Of het zin heeft of niet is een tweede, het is in ieder geval een signaal aan de politie. Net als dat aangifte doen van fietsendiefstal strikt genomen geen zin heeft, maar in ieder geval de statistieken op peil houdt....

Daar gaat mijn vraag dus niet over, ik ben benieuwd naar de ervaring/de praktijk.

[jep]

Ik heb regelmatig DDoS attacks op 1 server (die fysiek niet in 't zelfde netwerkje zit als mijn andere machines) maar de politie heeft er geen tijd voor.

1 Keer wist ik de naam en adres gegevens van de daders, maar de politie gaf aan de aangifte wel op te willen nemen, maar puur voor de statistiek. Ook het cyberteam van politie gaf aan hier geen tijd voor te hebben.

Zelf een oplossing regelen dus. Het wordt nog eens cyber oorlog.

[Neophyte]

Wil niemand aanzetten tot verkeerde praktijken, maar de politie doet hier niks tegen nee, ten eerste omdat ze er weinig verstand van hebben en het deeltje dat dat wel heeft, heeft het drukker met voor hun meer belangrijke zaken. En omdat de wet veel te moeilijk is op dit vlak nemen ze gewoon niet de moeite om er een zaak van te maken. Zie het voorbeeld van het platleggen van de overheidssites...

Dus eigenlijk komt het er op neer dat als je het wilt oplossen je het zelf moet doen... Helaas...

[SithWarrior]

Ik wil nog wel even kwijt dat in bovenstaand verhaal, dat er niks uit gekomen is. Zowel als de ISP's als de politie heeft er maar weining mee gedaan.Gelukkig is die gast van zelf gestopt. (Was het zelfs al weer bijna helemaal vergeten zo lang geleden )

[JumpStart]

SithWarrior schreef op 27 oktober 2004 @ 14:26:
Ik wil nog wel even kwijt dat in bovenstaand verhaal, dat er niks uit gekomen is. Zowel als de ISP's als de politie heeft er maar weining mee gedaan.Gelukkig is die gast van zelf gestopt. (Was het zelfs al weer bijna helemaal vergeten zo lang geleden )

Al is niet uit te sluiten dat 'ie gestopt is omdat hij via-via te horen kreeg dat er werk van gemaakt werd...

Aan de andere kant, de dader van toen schijnt (horen zeggen / beweert men, geen idee of dit klopt dus) wel meer DDoS aanvallen, ook op andere sites op zijn naam te hebben staan, dus een aangifte door een andere website zou mogelijk nog wel effect gehad kunnen hebben.

[Verwijderd]

In Nederland kennen we ook zoiets als cybercrime.gov, namelijk GovCERT.NL

Hier staat ook hele handige info die jou (en iedereen hier wel) kan helpen in dit soort omstandigheden.

PRAKTISCHE HANDLEIDING CYBER CRIME

De "Handleiding Cyber Crime, van herkenning tot aangifte" is een initiatief van GOVCERT.NL in samenwerking met het Korps Landelijke Politie-Diensten KLPD. Tevens hebben onder andere het Ministerie van Justitie, het Nederlands Forensisch Instituut, de Algemene Inlichtingen- en Veiligheidsdienst en de branchevereniging Nederlandse Internet-Providers (NLIP) hun medewerking verleend.

De handleiding geeft organisaties, bedrijven en instellingen, praktische handvatten om cyber crime te herkennen, te voorkomen en te bestrijden. De handleiding is met name bedoeld voor systeembeheerders, het management en juristen binnen een organisatie.

Gezien de technische en juridische ontwikkelingen op het gebied van informatiebeveiliging en cyber crime wordt de handleiding beschouwd als een levend document. Ook uw opmerkingen en/of aanvullingen kunnen als input dienen om de handleiding uit te breiden of te verbeteren.
Mocht u opmerkingen en/of aanvullingen hebben op de "Handleiding Cyber Crime, van herkenning tot aangifte" dan kunt u deze kenbaar maken via [e-mail].

Hier dan het document wat erg handig is:

OPVRAGEN - PRAKTISCHE HANDLEIDING CYBER CRIME