Hosting & DoS: geen hosting meer?

[Olaf van der Spek]

Een aantal sites die ik ken zijn recent aangevallen en de provider heeft in bepaalde gevallen geweigerd de site nog langer te hosten.

De DoS aanval was voor de aanvaller dus zeer geslaagd.
Nu vroeg ik me af of het normaal is dat providers in zo'n geval geen service meer willen leveren.
Het gaat om sites met ongeveer 20 gb/maand traffic.

[Zwelgje]

lijkt me vrij normaal, wie wil er nu sites gaan hosten die risicovol zijn ik bedoel niet alleen jij bent de dupe van zon Dos aanval, ook andere klanten van hun zijn de dupe, en dat willen ze (begrijpelijk) niet

[LauPro]

Ik neem aan dat je een DoS-attack bedoeld, wat je nu eigenlijk zegt is dat de provider gewoon wanprestaties levert .

Ik zou als provider die kosten gewoon doorberekenen, de klant is verantwoordelijk voor de site en het verkeer, als dat teveel wordt dan moet 'ie gewoon dokken. Nog wel een interessante discussie, een provider die met Virtuele Hosts werkt kan misschien nog wel is geen poot hebben om op te staan bij dit soort acties.

[bjck]

Dit komt vaker voor .. Ondanks dat je er niets aan kan doen ..

Vaak rekenen ze het traffic op jou af ..

Is ook veel voor komend probleem met gameservers. Veel isp's willen ze niet hebben. Doordat mensen niet tegen hun verlies kunnen.

Als het tweakers nog vaker gebeurt zullen ze ook die discussie met trueserver krijgen.

[IceStorm]

Is dat normaal? Ach, kun je over twisten. Ik kan het me iig zeer goed voorstellen. Een DoS levert gewoon echt een hoop gemeuk op voor een provider en dan wordt het gewoon een kosten/baten plaatje.

LauPro, het verkeer is niet echt een punt meestal, daar kun je wel gewoon voor laten betalen maar het probleem zit hem er gewoon in dat een x aantal klanten de dupe wordt omdat er 1 iemand een dos krijgt.

Om die reden willen veel providers bijv geen IRC channels
Oh, en ze staan volledig in hun recht neem ik aan. Ik ga er van uit dat ze in hun algemene voorwaarden hebben staan als "[Bedrijf] houdt zich ten alle tijden het recht voor om de diensten aan [klant] op te zeggen".

[ Voor 26% gewijzigd door IceStorm op 04-06-2003 23:19 ]

[Olaf van der Spek]

Ik heb het inderdaad over Denial of Services attacks, eventueel distributed, LauPro.
Dus als ik het goed begrijp kunnen de meeste providers zich hier niet tegen verdedigen?
Dus een willekeurig script kid kan gewoon alle klanten van die provider aanvallen en de provider 'dropped' al die klanten?
Dat zou natuurlijk een extreme situatie zijn, maar waar ligt de grens?

[bjck]

Grens is er niet ..

Providers hebben altijd het recht een klant te weren..
Providers kunnen het door berekenen .. dan gaat de klant vanzelf wel weg.

Is gewoon niet handig ..

[Olaf van der Spek]

Maar als de provider zelf aangevallen wordt, wat wordt er dan gedaan?
Alle klanten droppen lijkt me niet zo handig.

[LauPro]

IceStorm schreef op 04 juni 2003 @ 23:18:
LauPro, het verkeer is niet echt een punt meestal, daar kun je wel gewoon voor laten betalen maar het probleem zit hem er gewoon in dat een x aantal klanten de dupe wordt omdat er 1 iemand een dos krijgt.

Daarom vond ik het wel een interessante discussie. Stel dat de boel met virtuele hosts draait (en dus meerdere sites op 1 ip) dan is (als men gewoon dat ip gaat aanvallen, zonder gebruik te maken van het DNS) het voor de provider niet te zien wie nu het oorspronkelijke doel was. Als het al vaker is gebeurt dan krijg een site natuurlijk al snel vooroordelen maar in deze situatie is het heel moeilijk te bewijzen voor de provider. Als de beheerder van de site in kwestie ermee naar de rechter gaat zal die waarschijnlijk gelijk krijgen (als er dus geen bewijs is, alleen de suggestie dat..). Imo is een DoS-attack ook een beetje 'bedrijfsrisico', maar idd _erg_ vervelend.

Ik denk dat er een organisatie moet komen die de aanvallers van DoS-aanvallen moet kunnen pakken, een soort verbond. Dit moet dan wel wereldwijd gebeuren want anders heeft het geen nut.

edit2:
OlafvdSpek: Nou dat valt dus onder het bedrijfsrisico. Je hebt nou eenmaal je webservers op poort 80 openstaan en alles kan daar maar binnen komen, nu kan je er allemaal beperkingen op zetten alleen dan wordt het effect vaak alleen maar erger. Tijdens een aanval is het enige wat je kan doen de servers 'down' halen en eraan toegeven. Vaak wordt dit onder het mom van 'om de servers te beschermen hebben we ze even offline gehaald' naar buiten toe gebracht. Want het uiteindelijke doel van de aanvallen was om de server offline te krijgen en als dat dan is gelukt dan zullen ze de aanval meestal wel stoppen.

Als provider zit je dan in een hele benarde situatie: aan de ene kant de helpdesk waar de telefoons roodgloeiend staan met allemaal boze klanten en aan de andere kant gestressde sysop's die diep in het console gedoken zijn op de aanvaller te _proberen_ te achterhalen . Achterhalen is veelal onmogelijk en het enige wat je kan doen is gewoon wachten, ik denk dat je het het beste kan zien als een bug van 'het internet' .

[ Voor 35% gewijzigd door LauPro op 04-06-2003 23:46 ]

[Verwijderd]

Ik vind het vrij normaal, zeker bij virtualhosting. Colo of dedicated hosting is het gewoon een kwestie van dataverkeer kosten door berekenen, maar virtualhosting lijden andere klanten er ook zwaar onder. Een webhoster zal in zo'n geval eerder kiezen voor de andere klanten dan voor jou.

[Olaf van der Spek]

Dus als klant gezien is het niet mogelijk op normale wijze een site te hosten als een script kid daar geen zin in heeft?

[Verwijderd]

Hangt er vanaf of je site ook dos gevoelige content heeft. Als je bv sites ala spamvrij.nl ofzo draait dan kun je verwachten - hoe erg het ook is - dat het vroeg of laat zal gebeuren.

Op 't moment je site dus een potentiëel gevaar is heb je idd kans dat providers je niet (meer) als virtualhosting klant hebben omdat je dan veel meer kost dan wat ze aan je verdienen...

[Verwijderd]

Dos gevoelige content? Dan vindt ik persoonlijk http://www.spamvrij.nl daar niet onder vallen...

Dat ze nu sites aanpakken waar op vermeld wordt dat ze Dos-proof zijn om te bewijzen dat dát niet waar is, of waar dingen verkondigd worden die discutabel zijn kan ik nog enigszins voorstellen, maar ja... Mensen zijn de meest a-sociale beesten...

[Verwijderd]

Verwijderd schreef op 05 June 2003 @ 12:47:
Dos gevoelige content? Dan vindt ik persoonlijk http://www.spamvrij.nl daar niet onder vallen...

Lees nl.internet.misbruik maar eens, onlangs is nog het spam archief van Paul Wolters door spammers onder handen genomen dmv een gezellige dos. Dergelijke sites zijn JUIST het doelwit van dos attacks. Neem ook bijvoorbeeld sites van game-clans, sites met extreme opvattingen etc.

[Olaf van der Spek]

De sites waar ik het over heb gaan over Red Alert 2 en dan vooral anti cheating. Jammer genoeg DoS-gevoelig momenteel.

[jep]

DDoS-gevoelige machines, ik weet er alles van . Als ik een aanval binnen krijg verreken ik het door als de machine er niet onderdoor gaat. Als het een attack is waarbij dingen ernstig vertragen zal die account er toch echt af moeten. Hoe verkoop je dat aan je klanten als je 't laat staan . Redelijk normaal dus..

[Olaf van der Spek]

Je zou natuurlijk ook kunnen proberen het DoS traffic eruit te filteren op een upstream router. Dan hebben de klanten er geen/minder last van.

[Verwijderd]

OlafvdSpek schreef op 05 June 2003 @ 16:24:
Je zou natuurlijk ook kunnen proberen het DoS traffic eruit te filteren op een upstream router. Dan hebben de klanten er geen/minder last van.

tja en dan je klanten maar afvragen waarom ze hun site niet kunnen pingen!

[jep]

OlafvdSpek schreef op 05 June 2003 @ 16:24:
Je zou natuurlijk ook kunnen proberen het DoS traffic eruit te filteren op een upstream router. Dan hebben de klanten er geen/minder last van.

Ik heb wel eens attacks die je niet moet filteren. Als je daar een filter op pleurt bezwijkt je juniper

[Janoz]

Ach, ze moeten gewoon eens een keertje zon k*t-joch oppakken en de gemaakte kosten aan hem doorberekenen. Dat zal ze wel ff afschrikken. Bij mij op het werk hebben we ook eens problemen gehad (service contract was bij een overname niet goed overgenomen waardoor de webserver te exploiten was. Hadden ze een pub op gezet)

In principe hebben we het jochie redelijk kunnen achterhalen, maar dan kom je met bergen CD's en andere logs bij oom agent, en dan blaat ie leuk dat ie 'daar geen tijd voor heeft'...

Was ondertussen wel een schadepost van €30.000 (En dat vergeten veel van die kleuters!!)

[Verwijderd]

OlafvdSpek schreef op 05 juni 2003 @ 16:24:
Je zou natuurlijk ook kunnen proberen het DoS traffic eruit te filteren op een upstream router. Dan hebben de klanten er geen/minder last van.

dos is niet 1 specifiek iets, er zijn honderden manieren om een site plat te krijgen. Zo heeft bij mijn eerder genoemde voorbeeld de 'dosser' gewoon een paar miljoen mailtjes verzonden (met e-mail adressen uit een spamdatabase) met een iframe met daarin de site van de persoon die ze wilde dossen. Dat is maar EEN manier. Daarom kun je ook zo weinig doen om dos aanvallen te voorkomen.

[ Voor 7% gewijzigd door Verwijderd op 05-06-2003 16:39 ]

[jep]

Janoz schreef op 05 juni 2003 @ 16:35:
Was ondertussen wel een schadepost van €30.000 (En dat vergeten veel van die kleuters!!)

Door een pub een schadepost van 30.000 euro? Heb je een half jaar op 100mbit lopen pompen?

[Verwijderd]

jep schreef op 05 juni 2003 @ 16:35:
[...]

Ik heb wel eens attacks die je niet moet filteren. Als je daar een filter op pleurt bezwijkt je juniper

?? welke dan? als men het zo nodig vind om een DOS of variatie ervan uit te voeren geef ik echt de opdracht om de boel te droppen. Nog geen nare ervaringen mee gehad

[avon]

Janoz schreef op 05 June 2003 @ 16:35:

Was ondertussen wel een schadepost van €30.000 (En dat vergeten veel van die kleuters!!)

Waardoor werd al die schade dan veroorzaakt?

[jep]

Verwijderd schreef op 05 juni 2003 @ 16:37:
[...]


?? welke dan? als men het zo nodig vind om een DOS of variatie ervan uit te voeren geef ik echt de opdracht om de boel te droppen. Nog geen nare ervaringen mee gehad

Ik weet niet precies hoe 't zat. Het kwam er op neer dat we 't best konden 'slikken' omdat 't 50k packets p/s waren en 't een beetje kut was.

[Janoz]

jep schreef op 05 June 2003 @ 16:37:
[...]

Door een pub een schadepost van 30.000 euro? Heb je een half jaar op 100mbit lopen pompen?

Ja, da's ff schrikken he..
We hebben het wel over het niet kunnen nakomen van SLA, manuren op hele rare tijdstippen (pub gooien ze online zo rond vrijdag 5 a 6 uur.. waarom zou dat nou zijn) en uiteraard dataverkeer...

[Verwijderd]

jep schreef op 05 June 2003 @ 16:37:
[...]

Door een pub een schadepost van 30.000 euro? Heb je een half jaar op 100mbit lopen pompen?

De meeste schade is veelal niet de directe schade, maar de indirecte schade.

[Verwijderd]

jep schreef op 05 juni 2003 @ 16:40:
[...]

Ik weet niet precies hoe 't zat. Het kwam er op neer dat we 't best konden 'slikken' omdat 't 50k packets p/s waren en 't een beetje kut was.

ben dan wel benieuwd, ben nog niets tegengekomen dat ik niet kan droppen. Als men zoals in het artikel op de site gaan klooien met de hash (whats in the name) dan zou ik zeggen mja dan ben je als je het ontdekt vet te laat. enige optie is dan poort dicht en rebooten.

moet natuurlijk het individu niet een andere poort gaan exploiten

[ Voor 11% gewijzigd door Verwijderd op 05-06-2003 16:50 ]

[Verwijderd]

maar om even op topic te blijven,, de SLA van de provider komt natuurlijk wel in het geding als er een site gehost word die "populair" is om te dossen..

Mijn mening is dat aan de ene kant ik dit heel goed begrijp maar aan de andere kant is het natuurlijk wel kl*te voor de eigenaar van de site en of server,,

maar waarom niet zelf hosten,, ik ken wel een aantal providers die bandbreette verkopen zonder data limiet.

[Olaf van der Spek]

Verwijderd schreef op 05 June 2003 @ 16:31:
tja en dan je klanten maar afvragen waarom ze hun site niet kunnen pingen!

Dat is toch geen probleem als de site zelf nog wel te bereiken is?

[Olaf van der Spek]

Verwijderd schreef op 05 June 2003 @ 16:35:
dos is niet 1 specifiek iets, er zijn honderden manieren om een site plat te krijgen. Zo heeft bij mijn eerder genoemde voorbeeld de 'dosser' gewoon een paar miljoen mailtjes verzonden (met e-mail adressen uit een spamdatabase) met een iframe met daarin de site van de persoon die ze wilde dossen. Dat is maar EEN manier. Daarom kun je ook zo weinig doen om dos aanvallen te voorkomen.

Weet ik. Daarom staat er ook proberen. Is dat met het versturen van die mails gelukt?
Lijkt me een zwakke site dan, want zoveel traffic kan dat toch niet genereren?

Verwijderd schreef op 05 juni 2003 @ 16:47:
ben dan wel benieuwd, ben nog niets tegengekomen dat ik niet kan droppen. Als men zoals in het artikel op de site gaan klooien met de hash (whats in the name) dan zou ik zeggen mja dan ben je als je het ontdekt vet te laat. enige optie is dan poort dicht en rebooten.

(Welk artikel op welke site?)
Dit artikel: nieuws: Servers eenvoudig overbelastbaar met hash-aanval

[ Voor 29% gewijzigd door Olaf van der Spek op 05-06-2003 20:36 ]

[Olaf van der Spek]

Verwijderd schreef op 05 June 2003 @ 16:58:
maar waarom niet zelf hosten,, ik ken wel een aantal providers die bandbreette verkopen zonder data limiet.

Voor 20 gb/maand? Volgens mij is dat veel duurder dan virtual hosting.

[jep]

Verwijderd schreef op 05 June 2003 @ 16:58:
maar waarom niet zelf hosten,, ik ken wel een aantal providers die bandbreette verkopen zonder data limiet.

Ik ook. Ze knijpen je flink, of je betaald gewoon je mbits.

[Tjark]

OlafvdSpek schreef op 05 June 2003 @ 17:15:
[...]Weten ik. Daarom staat er ook proberen. Is dat met het versturen van die mails gelukt?
Lijkt me een zwakke site dan, want zoveel traffic kan dat toch niet genereren?

als er bv 2 miljoen mailtjes in 8 uur geopend worden door mensen, dan is dat iets van 70 request/sec. En misschien iets van 11GB/uur bij een pagina van 50KB

[Janoz]

TjarkVerhoeven schreef op 05 juni 2003 @ 17:26:
[...]

als er bv 2 miljoen mailtjes in 8 uur geopend worden door mensen, dan is dat iets van 70 request/sec. En misschien iets van 11GB/uur bij een pagina van 50KB

Tel daarbij op dat mail lezen best in pieken kan gebeuren (lees 9:15 europesche tijd of us-tijd waneer de werknemers na het halen van hun koffie eens even hun email gaan doornemen)

[Verwijderd]

OlafvdSpek schreef op 05 June 2003 @ 17:15:
[...]

Weet ik. Daarom staat er ook proberen. Is dat met het versturen van die mails gelukt?
Lijkt me een zwakke site dan, want zoveel traffic kan dat toch niet genereren?

Ik meen dat ie momenten had van 10mbit.... dus dat zijn heeeeel wat aanvragen/sec en een server gaat dan wel redelijk over zijn nek.

Bovendien was de betreffende site meen ik ook nog eens databasedriven....

[ Voor 9% gewijzigd door Verwijderd op 05-06-2003 20:45 ]

[Olaf van der Spek]

Verwijderd schreef op 05 juni 2003 @ 20:40:
Ik meen dat ie momenten had van 10mbit.... dus dat zijn heeeeel wat aanvragen/sec en een server gaat dan wel redelijk over zijn nek.

Tijdelijk of permanent over zijn nek?
Tijdelijk is begrijpelijk, permanent niet.
Het hangt natuurlijk ook af van de soort requests. Een static page van 50 kb of een dynamic page waar zware queries voor nodig zijn maakt nogal een verschil.

Ik kwam in http://msdn.microsoft.com...igningForSecurability.asp nog een leuke variant tegen: "The most basic DoS attack is the physical destruction of the computer hosting the application."

[ Voor 21% gewijzigd door Olaf van der Spek op 05-06-2003 21:23 ]

[Verwijderd]

OlafvdSpek schreef op 05 June 2003 @ 20:46:
[...]

Tijdelijk of permanent over zijn nek?
Tijdelijk is begrijpelijk, permanent niet.
Het hangt natuurlijk ook af van de soort requests. Een static page van 50 kb of een dynamic page waar zware queries voor nodig zijn maakt nogal een verschil.

dynamisch dus, en zijn beslist momenten geweest. Bovendien kwamen alle bounces van de mail ook bij hem binnen. Hoe dan ook, hij heeft hier dagen lang last van gehad. Geintje dus van een groepje spammers...

[JvS]

Janoz schreef op 05 June 2003 @ 16:35:

Was ondertussen wel een schadepost van €30.000 (En dat vergeten veel van die kleuters!!)

En kan je dan geen procedure aanspannen? Je kan toch een aanklacht indienen bij het een of ander? Als iemand jou schade veroorzaakt, dan kan je dat volgens mij altijd in elk geval proberen te achterhalen

[Verwijderd]

OlafvdSpek schreef op 05 June 2003 @ 17:19:
[...]

Voor 20 gb/maand? Volgens mij is dat veel duurder dan virtual hosting.

zonder namen te noemen: Als je een DSL lijntje van 256/256 neemt a 176 Euro zit daar optioneel voor een meerprijs van 99 Euro 4U 1024/1024 hosting zonder datalimiet bij.. Kortom je moet ff zoeken maar je komt ze echt tegen

[Verwijderd]

jep schreef op 05 June 2003 @ 17:22:
[...]

Ik ook. Ze knijpen je flink, of je betaald gewoon je mbits.

Of je neemt een grotere pijp.. knijpen?? dat staat in de SLA van de provider die ik in mijn hoofd heb als een nono!

[Verwijderd]

OlafvdSpek schreef op 05 June 2003 @ 17:15:

[...]

(Welk artikel op welke site?)
Dit artikel: nieuws: Servers eenvoudig overbelastbaar met hash-aanval

bijvoorbeeld

[vanke014]

Ik heb een korte tijd bij een hostingbedrijf gewerkt. Ook een aantal keer DoS-aanvallen gehad en er was niks aan de hand voor de klanten.

Wat wij nou hebben gedaan is het volgende; onze prijzen waren niet één van de laagste prijzen die je kon vinden. Maar in geval van een DoS-aanval deden wij geen aanspraak op de klant. De kosten waren voor ons hoog, maar die kosten konden we opvangen door het kleine beetje wat we van de klanten krijgen. Het zogenaamde risicogeld.

*Per server werd er 150 GB per dag aan die gein verspilt.*

[ Voor 7% gewijzigd door vanke014 op 06-06-2003 09:18 ]

[Verwijderd]

vanke014 schreef op 06 juni 2003 @ 09:16:
Ik heb een korte tijd bij een hostingbedrijf gewerkt. Ook een aantal keer DoS-aanvallen gehad en er was niks aan de hand voor de klanten.

Wat wij nou hebben gedaan is het volgende; onze prijzen waren niet één van de laagste prijzen die je kon vinden. Maar in geval van een DoS-aanval deden wij geen aanspraak op de klant. De kosten waren voor ons hoog, maar die kosten konden we opvangen door het kleine beetje wat we van de klanten krijgen. Het zogenaamde risicogeld.

Precies en de klanten weten waar ze aan toe zijn qua finacien voor een iets hogere prijs tov andere providers,,

Maar we zijn niet voor niets nederlanders en op de eerste rij zitten voor een dubbeltje.

Oh 150GB is wel veel voor een beetje hosting hoor,, maar het hangt natuurlijk wel van de pijp af

[ Voor 7% gewijzigd door Verwijderd op 06-06-2003 09:23 ]

[maartena]

OlafvdSpek schreef op 04 June 2003 @ 23:25:
Maar als de provider zelf aangevallen wordt, wat wordt er dan gedaan?
Alle klanten droppen lijkt me niet zo handig.

Nee. Maar een DoS is meestal gericht op 1 site, maar alle klanten ondervinden hiervan hinder. De enige juiste methode is het wegsturen van de klant die werd aangevallen.

Wat de grenzen precies zijn kan elke provider zelf bepalen. Ik kan me voorstellen dat als het 1 keer gebeurd een provider niet zo moeilijk doet. Als het om veel dataverkeer gaat kunnen ze dit inderdaad in rekening brengen, maar na 1 keer zullen ze niet de site wegsturen. Als het meerdere keren gebeurd is dat heel begrijpelijk. Door een DoS kun je namelijk ook je andere klanten kwijtraken die helemaal NIETS met die DoS te maken hebben, maar gewoon willen dat er 24/7 op hun site gewinkeld kan worden..... als een provider continue DoS aanvallen op 1 site blijft toelaten, dan hebben ze ZELF op een gegeven moment problemen.

De klant wegsturen is dan meestal de allerbeste oplossing.

[jep]

vanke014 schreef op 06 June 2003 @ 09:16:
Ik heb een korte tijd bij een hostingbedrijf gewerkt. Ook een aantal keer DoS-aanvallen gehad en er was niks aan de hand voor de klanten.

Wat wij nou hebben gedaan is het volgende; onze prijzen waren niet één van de laagste prijzen die je kon vinden. Maar in geval van een DoS-aanval deden wij geen aanspraak op de klant. De kosten waren voor ons hoog, maar die kosten konden we opvangen door het kleine beetje wat we van de klanten krijgen. Het zogenaamde risicogeld.

*Per server werd er 150 GB per dag aan die gein verspilt.*

Daar zou ik mijn risico geld niet voor willen gebruiken. Die klant krijgt een aanval, dat is het risico van de klant. Als jou klanten allemaal aanvallen krijgen (een paar dagen lang) kun jij je tent dus sluiten. Jij kunt er niets aan doen.

Het is net zoiets als een auto huren, vervolgens met een man met pistool naast je zitten en verplicht 1000 km moet rijden. Wie gaat die benzine betalen? Jou klant kan 't niet helpen dat die man naast 'm zat, maar jij al helemaal niet.

</fantasie>

Ik ben dus van mening dat je dit op je klant af moet schuiven. Het is een aanval op de klant, niet op jou. Het is onmogelijk om je financieel in te dekken tegen dergelijke kwesties. Geen risico die 'er bij hoort' als je host.