Spoofing atacks

[Verwijderd]

Bij het berdrijf waar ik werk krijgen we zeer regelmatig een spoofing atack Als we de ip adressen terug traceren kom je trecht op msn.nl of vuurwerk.nl.
We moeten vaak vanwege die aanvallen onze server rebooten wij draaien Microsoft ISA 2000 onder windows 2000 server.
Weet iemand iets wat ik hier tegen kan doen de aanvalleen terug kan traceren of anders iets waardoor we onzo schaarse bandbreete niet kwijt ragen door dit soort aanvallen

[Verwijderd]

Traceren wordt lastig. Een paar vragen:

1) zit die ISA server rechtstreeks aan het internet, of zit er nog een router/modem oid tussen?

2) waarom moet je in hemelsnaam die server resetten na zo'n attack?

[sh4d0wman]

Verwijderd schreef op 04 juni 2003 @ 14:54:
Bij het berdrijf waar ik werk krijgen we zeer regelmatig een spoofing atack

Weet iemand iets wat ik hier tegen kan doen de aanvalleen terug kan traceren of anders iets waardoor we onzo schaarse bandbreedte niet kwijt ragen door dit soort aanvallen

bedoel je niet heel toevallig DoS ? (denial of service).
even een vraag om er zeker van te zijn dat we over hetzelfde praten

[Kabouterplop01]

Op het moment van de attack zal die bandbreedte gewoon weg zijn(Ligt trouwens wel aan de soort van attack).
In je logging en eventvwr kun je precies zien waar het vandaan komt, maar ja met een spoof is dat lastig te tracen. Als je ISA het meldt in de logging dan kun je er 100% zeker van zijn dat ie het netjes heeft tegen gehouden. We hebben mijn bak wel eens getest met een (subnet)SMURF attack. Dat houdt de ISA gewoon tegen, zonder dat er iets in de netwerprocessen crasht. En ja het internetten wordt dan traag ja; je krijgt met zo'n attack wel een berg verkeer voor je kiezen gepropt.

[Verwijderd]

firewall gebruiken, als het gespoofde source ip's zijn kun je dit blokken door een firwall met tcp inspection te gebruiken. en dan met voorkeur plaatsen bij je provider.

[ Voor 18% gewijzigd door Verwijderd op 05-06-2003 08:19 ]

[Verwijderd]

Bedankt voor alle reacties.

Het is geen dos aanval, het internetten wordt heel traag en er zit een router tussen de ISA en het internet (cisco).
In geval van zeer traag internetten door deze spoof attacks is een oplossing om de router even aan en uit te zetten. Als er andere oplossingen zijn dan hoor ik het graag ook om deze spoofs tegen te gaan...

[Taigu]

Goeie firewalls hebben standaard methodes om spoofing tegen te gaan en deze af te vangen. Netscreen iig wel.

[Guru Evi]

Dus: het is geen DoS attack, maar toch een spoofing attack en je externe netwerkverbinding wordt trager. Welke soort attack bedoel je dan? Heb je een firewall log.

[ Voor 28% gewijzigd door Guru Evi op 07-06-2003 13:11 ]

[Whizzer]

Heb je je ISA server ingesteld dat ie alles 'reject' i.p.v. 'droppen'??? Je krijg tijdens zo'n aanval natuurlijk een hoop verkeer te verwerken (wat niet te voorkomen is, tenzij je dit regelt met je provider), en als je firewall vervolgens daarop ook allemaal nog gaat lopen antwoorden, dan is het snel bekeken met de bandbreedte...

Het is natuurlijk niet _DE_ oplossing, maar wel een tip...

[The Jester]

Als er een router voor zit, kun je traffic shaping configureren. Dan zorg je iig dat de boel niet helemaal dichtgegooid wordt. Bovendien kun je dan meteen bescherming tegen SYN-floods inbouwen. Ik raad je ook aan om eens accounting aan te zetten. Kun je vrij veel uithalen.