Omluva za výpadky

Omlouváme se za výpadky abclinuxu v tomto týdnu, jsou způsobeny masivním DOS útokem na síť GTS, do které je náš portál připojen. Na řešení se pracuje.

25.12.2006 22:11 | Redakce | Upozornění

Komentáře

Diskuse byla administrátory uzamčena

[LFCIB]

Jednou to bylo down docela dlouho, až jsem z toho byl na nervy

To mi nedělejte, srdeční záležitost!

Držím palce, chlapci z GTS to jistě zmáknou

LFCIB

[Filip Korbel]

Bohuzel to nekolik routeru GTS neustalo. Utok zabira (stale min jednu STM-16):

traceroute to x.x.x.x (x.x.x.x), 30 hops max, 38 byte packets
 1  212.24.145.193 (212.24.145.193)  0.291 ms  0.251 ms  0.185 ms
 2  212.24.132.225 (212.24.132.225)  2.208 ms *  2.577 ms
 3  prg-76kkk-v100.dialtelecom.cz (82.119.245.2)  3.422 ms  3.553 ms  4.769 ms
 4  * nix2.gts.cz (194.50.100.51)  3.666 ms  3.901 ms
 5  * * *
 6  * phnR10-Vl-74.net.nextra.cz (213.210.131.174)  331.085 ms  342.834 ms

Takze nase stojany polozily nekolik ADSL situ GTS i www serveru v CR (annonce, touchware atd). Jedna se o velmi profesionalni utok, ktery graduje jiz pres tyden, takze to neni neci zabava, ale cil a zatim nevime jak z toho. Je to SYN flood na cca 70 IP adres na porty 5110 a 5020 v nasich stojanech s prutokem 1,5 Gbit upstream pres tier 1 providera v rakousku (cca 70 serveru v utoku):

[00001] 2006-12-25 22:46:26 [Root]system-emergency-00005: SYN flood! From
59.49.12.172:57268 to 195.70.x.x:5020, proto TCP (zone Untrust, int ethernet3).
[00002] 2006-12-25 22:46:26 [Root]system-emergency-00005: SYN flood! From
222.91.75.22:26137 to 195.70.x.x:5020, proto TCP (zone Untrust, int ethernet3)
[00004] 2006-12-25 22:46:26 [Root]system-emergency-00005: SYN flood! From
60.171.44.122:32178 to 195.70.x.x:5020, proto TCP (zone Untrust, int ethernet3)

atd atd atd atd...cca 700k logu za sekundu

Pokud ma nekdo z vas cisco box co to ustoji, tak sem s nim

[Luboš Doležel (Doli)]

Samá Čína koukám... tyhle (censored) banuju na iptables (celou zemi), jak se ty logy najednou zkrátily

[Filip Korbel]

Predtim to byl hodne Farnkfurt a dnes je to cina.

[Sinuhet]

A co zahajit protiutok?

~# nmap -A 60.171.44.122

Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2006-12-25 23:15 CET
Interesting ports on 60.171.44.122:
Not shown: 1673 closed ports
PORT     STATE SERVICE         VERSION
21/tcp   open  ftp             MikroTik router ftpd 2.9.7
22/tcp   open  ssh             OpenSSH 2.3.0 mikrotik 2.9 (protocol 1.99)
23/tcp   open  telnet          Linux telnetd
80/tcp   open  http?
1720/tcp open  H.323/Q.931?
2000/tcp open  callbook?
3986/tcp open  mapper-ws_ethd?

Sice login admin a prazdne heslo nefunguje, ale takhle na prvni pohled to nevypada, ze by se s tim nedalo nic delat.

[Jardík]

Tak na něj tedy pojďme udělat hromadný DoS útok ...

[Filip Korbel]

Do toho nemuzeme jako firma jit a ani to nedelame a nikdy delat nebudeme! Ale poslete mi Vas soukr email Moc diky za podporu i kdyz nevim jak si predstavujete vendetu na 200 masin na netu. Tyto vanoce se opravdu z pohledu "site" nepodarily. Polovina Stickfish si pred rozbalenim darku volala a resila vse dokola...

[b0rmann]

200? Tak to jste panove jeste nezazili poradny DDoS... I kdyz asi take dost neprijemny... Zajimavejsi bylo by zjistit proc je z vas najednou terc takovehle svinstva.

[Filip Korbel]

Ocekavali jsme 3 duvody utoku:
1. vydirani, ale nikdo zatim o penize nepozadal a dle meho by se to jiz stalo
2. zrusit nas business s dedikovanymi servery
3. zrusit jednoho z nasich zakazniku (maji u nas 6 serveru + svuj juniper fw)

Zatim to vypada na variantu 3. Je to zahranicni spolecnost. Vice nemohu rici. Ale vzhledem k delce utoku a opatrenim, se jedna o cilenou akci a zadne otukavani. Dnes to sputstili jiz 2x v prubehu dne.

[Grunt]

A co ti "nejmenovaní zákazníci" majů proboha na portech 5020,5112/tcp(nebo kolik to bylo)?Pokud bych se snažil SERVERy odrovnat tak bych snad začal GET požadavkama na 80/tcp...to by SERVERy a ROUTERy dostalo dřív.

[iSteve]

To si moc nepomuzes... vetsina techhle stroju jsou totiz adminovany lidma, co povazujou za hrozne chytrej napad nechat si root heslo na urovni "root" nebo "123", nekdo se strefi do hesla... a ma stroj navic.

[#2453]

Ze by stroje patrici bezpecnostnim uradum?

[Václav "Darm" Novák]

neee, tam nejsou lamy a používaj kombinace čísel a písmen. Tipl bych root123 :)

[David Watzke]

Proč nemůžete tyhle SYN-flooďáky rovnou banovat?

[Filip Korbel]

Je to proti podminkam vetsiny ISP v CR a hlavne, by se jednalo o prostup, ktery neni prilis slucitelny se zakonem. "Vyuziti datove site za ucelem ...bla bla...". Do toho fakt nemuzeme jit Na trhu mame jen jedno jmeno a ICO Navic, si dokazu predstavit DOS proti jednomu stroji, ale tech zdrojovych IP mame jiz cca 200. Dle meho to stejne budou neci vyhakovany boxy a majitel nevi co se vubec deje.

[deda.jabko]

jednou jsem byl ten nastastny vyhakovany uprostred... ale uz vim proc, je dobre konfigurovat software podle manualu k prislune verzi a nestaci o deset releasu starsi.... to se clovek divi, jake skuliny ty hovada dokazou vyuzit....

[Grunt]

To se jako dle zákonů ČR nesmí zahazovat pakety těchto "útočníků"(či jak to nazvat)?

[Stanislav Petr]

Tohle se zadnym firewallem resit neda. Co ja vim, tak je jedina rozumna moznost hodit tam routu na blackhole a informovat ISPcko odkut to jde.

[Grunt]

Tim myslite misto zahazovani paketu jich přesměrovat jinam?

[Filip Korbel]

GTS nyni redirectla par nasich IP adres do /null nekde na ceste tier1 upstreamu. Router ma mene starosti nez nekam publikovat info, ze tyto IP nejsou zrovna na VIP seznamu. Kluci z GTS tvrdi, ze pro tyto situce byva vyhodou mit nejaky L3 routovaci switch nez router, ktery neustoji takovy napor. Pro mne je to docela nova myslenka.

[Grunt]

Vydrzet nápor?...to to ten šeredný trafik eště někam routrujete? Switch?...a to by nestačil nějaký trošku lepší firewall s filterama?

[Stanislav Petr]

Nestacil. Protoze v takovymhle pripade nemuzete nasazovat firewall, protoze by jste tim mohutnost utoku jeste zvysil. Nejrychlejsi je opravdu L3 switch a na nem ten provoz presmerovat (routing na L3 switchi je rychlejsi nez jakejkoliv firewall).

[Grunt]

Hmm...pořád nechápu nač to směrovat k cíli?

Vždyť to ten trafic předáváte akorát dál(a to enom ten co sa vleze do bufferů takže co směřovač nepojme je zahozeno a pokud mezi tim špatným je i něco dobrého(třeba přístup na ABC) tak je to zahozeno a to sa pak načekam než sa prohlížeč usmyslí poslat druhý SYN na Abíčko) a zbytečně tim zahlcujete procesor směřovača či je možnost přetečení bufferu (a následné zatuhnutí) či bůh ví co...tim pošlete problém akorát dál.

To by nestačilo akorát před(nebo i na) směřovač předhodit filter který zahazuje pakety(řekl bych že operace zahození paketu je mnohem úspornější než jeho směřování) z pochybných IP?

[Dan Ohnesorg]

Existuji smerovace, ktere umi DST paketu porovnat na nejakych hradlovych polich a vubec s tim neobtezovat procesor. Ty potom vedi velmi presne, kterym smerem je potreba paket prehodit. Jenze porovnat paket podle SRC by znamenalo preprogramovat to hradlove podle, a to neni zadna sranda.

[Grunt]

Ne ,tak sem to vůbec nemyslel.

Myslel jsem to tak že by se před router(který by uměl značkovat) předhodila nějaká mašina.Dále by značkovač řekněme po více jak 5 p/s z jedné IP s syn příznakem hodil do source adress listu firewallu tuto IP a firewall už by jenom zahazoval.Tím by jste ROUTERu ulevili od největšího náporu(problém by byl samozřejmě s tim že na FW a dále by byly plné buffery a nestíhali by jejich krabičky ,ale to už není ve vaší pravomoci...to už by sa mosel řešit dál třebas nějakým Centralised IDS a domluvami Providerů) a navíc si myslim že nějaký starý krám(v případě starého krámu by jich bylo asi potřeba více a zátěž rovnoměrně rozložit) co vám támhle stojí v rohu výjde jako provizorní řešení mnohem líp než nějaký HIGH-SPEED Router.

[Dan Ohnesorg]

Hm, firewall co bude mit dve 10G karty asi nebude az tak bezna krabice. Navic tady je spise nez absolutni hodnota datoveho toku problem s poctem paketu za vterinu a s tim dokazeme u nas v siti vykonove narazit i kdyz absolutni datovy tok je jeste pod 100Mbit.

Zazil jsem tohle v siti jineho providera a vim ze lide, kteri tomu fakt rozumi a vzdy si vedeli rady, jen smutne koukali jak se rozpadaji BGP session a rikali sorry, tady jsme skoncili.

[Grunt]

Hm, firewall co bude mit dve 10G karty asi nebude az tak bezna krabice.

Máte pravdu...asi sem to trochu přehnal(a to ani nechtějte vědět co sem si představoval pod pojmem "krám co leží zaprašený v rožku")...ale i tak si pořád myslim ,že je výhodnější před router dat něco co by to zahazovalo než to furt někam přesměrovávat ,protože operace přesměrování paketu mi dojde mnohem náročnější na vše (a hlavně na to co následuje za routerem) než obyčejné zahození paketu.

A proč zahazovat?...pokud je to SYN Flood tak by stálo za pokus mu odeslat ICMP:"No route to host" či něco podobného...kdo ví...možná aj mezi Číňanama sů slušní ludé a slušní progamátoři červů.

[Dan Ohnesorg]

Kontrolni otazka: co se stane, kdyz ta ICMP odpoved bude vetsi nez ten SYN paket ?-)

Ti progamatori sedi temer jiste v Praze a ne v Cine, tam jsou jen zombici, ktere se jim podarilo najit.

Ale nebudu si hrat na gurua v routingu Tier1, s tim nemam zadne zkusenosti a pouze teoreticke znalosti.

[Filip Korbel]

To se nam zatim nestalo. Vsechny ty SYNy, teardropy a SYNACKy, atd. bloky byly docela velky. I z toho je patrne, ze ty routerty neumrely na 64bit velikosti pckt, ale na velkym streamu. Kluci dle nas sedi opravdu v cine. Ale u 200 IP adres uz se neda verit ani L2 switchi od cisca

[Dan Ohnesorg]

To by me teda fakt zajimalo, jakeho jste ulovili zakaznika, ze ho nejaky cinan zna a ma duvod na nej utocit. Dyt 99.99% cinanu nenajde CR asi s mapou. Mnohem pravdepodobnejsi mi prijde, ze za nim nekdo za mesic prijde a rekne mu: Vidite dokud jste byl u nas, servery vam bezely furt a zadne vypadky nebyly.

[Stanislav Petr]

To tim bejt neumusi. Tim zakaznikem muze byt klidne mezinarodni firma a utok muze jit i na jejich servery nejen v .cz domene (a mam dojem, ze jsem nahodou zjistil, ktera firma to je, kdyz jsem potreboval z jejich stranek informaci). :)

[rincewind]

Microsoft? :DDD

[Grunt]

Nevim proč ale tato myšlenka se mi také již nějaký čas honí hlavou...už se ví o koho jde?

[rincewind]

IMHO je zbytecne po tom patrat... co z takove informace?...

[Grunt]

No ,myslim si ,že to zrovna legální to asi nebude...

[rincewind]

Myslite ten server, nebo to zjistovani co je onen server zac?

[Grunt]

No myslim pátrat po tom kdo zadal zakázku na tento útok...to by mělo být proti pravidlům a pokud by se ho podařilo dopátrat ,tak by mohla ta určitá (osoba/firma) zaplatit ztráty...a nebo se mýlím?

[rincewind]

Co se tyce prava jsem dost mimo misu, takze to bohuzel nevim...

[Grunt]

To já též...avšak myslim si ,že snaha o záměrné vyřazení konkurenčního serveru bude proti pravidlům volné hospodářské soutěže(nebo tak něco).A navíc pochybuju ,že ty Činské stroje vůbec vědí ,že se za pomoci jejcih počítače se něco takového děje...to budou nějací trojani nebo červy...a myslim ,že vpravovat do počítače podobné škodlivé programy trestné je...to mi nevykládejte ,že někdo může úplně beztrestně vpravit cizý kód do úplně cizýho PC ,a pak úplně beztrestně a vědomě shazovat konkurenční servery...a myslim si ,že pokud si to opravdu nějaká firma nechala udělat na obědnávku ,tak by měl být trest násoben 2x.

[DjAARA]

Píšete interpunkci naopak, mezera má být za interpunkčím znaménkem ne před ním. Díky.

[jm]

No, a taky objednavka nema s obedem nic spolecneho...

[Grunt]

Jo proto mi to vždy World podtrhával(děkuji za vysvětlení)...avšak na mém návyku dávat mezeru před čárku to už asi nic nezmění.Máte právo svobodné volby kliknout na Blokovat pokud se Vám to nelíbí.

[Filip Jirsák]

Třeba se ten návyk změní
,až budou vaše texty vypadat takhle
,a vy se budete divit
,proč jsou ty čárky tak divně

[Martin Myslivec]

Dyt 99.99% cinanu nenajde CR asi s mapou.

Omyl, drahy priteli, vetsina z nich ma pribuzne zde, na nejake trznici nebo v restauraci...

[Grunt]

Kontrolni otazka: co se stane, kdyz ta ICMP odpoved bude vetsi nez ten SYN paket ?-).

Dobře...berte to jako hodně špatný vtip.

Ale nebudu si hrat na gurua v routingu Tier1, s tim nemam zadne zkusenosti a pouze teoreticke znalosti.

Nápodobně...mě dělá problém 100p/s...na číslo 15k p/s sa možu ,tak max. dívat akorát v této Diskuzi.

[Filip Korbel]

Zasadni problem byl v tom, ze ty cisco boxy co jsou na ceste k nam od tier1 streamu GTS, uz byly tak zahlcene (propustnost na 40% pckt), ze k nam teklo jen 8 mbit. Takze jsme vlastne ani zadny fw jiz nepotrebovali Kdyz jsme zkusili omezit pasmo na 100 mbit na utovni transitniho providera na nas blok IP adres, tak jsme dostali plny zasah toho utoku a zase to neustal nas Netsreen 25 firewall.

[Marek]

Uz jsem se s touto myslenkou take setkal a vim o jednom nasazeni L3 switchu z tohoto duvodu.. Jinak jestli muzu doporucit neco velice kvalitniho z pohledu cena/vykon, mrknete na Force10. Tyhle boxy pouziva co vim tak minimalne Karneval, ted uz vlastne UPC..

[Karel5547]

Hm a to nejde zjistit od koho to jde? A dotycnou skupinu zajistit, odsoudit a popravit (myslim vazne)

[n00b]

naivko..

[Filip Korbel]

Muzeme nechat na urovni Telia strihnout ISP z ciny a frankfurtu, ale nevim, zda pak nepujdeme sedet nekam, do vezeni pro adminy Ten problem je tak fatalni, ze na urovni tier1 provideru si nevedi rady a postupne strihaji nase IP, kterych se to tyka (k dnesku celkem 3). Az nepojede abicko, ta budete vedet odkud vitr vane V EU jsou dle GTS dva provideri, ktery maji boxy co tohle ustoji. 23/12 jsme saturovali 3 x STM16 upstream. Kdyz ma GTS hodne "dat" v siti, tak si bere jednu STM16.

Dnes v noci jsme jsme nechali na velkem cisco boxu omezit upstream na 100mb pro nase bloky a pustili jsme to na sebe v plne palbe v naivni predstave ze to nase sit ustoji, ale nas fw to absolutne neustal. Pristalo nam 15k pckt/s na portu 5020 a 5110 a vsechno lehlo popelem. Ten MIPS v juniperu poslal jeden alarm log a pak ticho jako v ponorce.

[Ondrej]

15 000 paketu za sekundu? to musej horet kabely ne? Jinak hodne stesti, tohle se prezije

[atirage21]

Držím palce, chalani nakopte tých čínských žlťákov do zadku :)

[atirage21]

napadla má taká srandička, eby ste nachvilku zmenili smerovanie z portalu abclinuxu.cz na ich čínsku stránku , napr. microsoftu :)

[Filip Korbel]

Uz nas napadly horsi veci, ale jde o to, ze to zacne strilet ty cisco boxy na ceste daleko drive, nez se to dostane k nam. Je to neresitelne.

[hwsoft]

No problem je, ze to tezko muzes resit az na siti GTS, tohle by se muselo resit nekde na vystupu z Ciny, kde maj ty jejich cmuchaci stroje. Ale to je spis jen hodne naivni teorie :(.

[niobi]

Ale tak proc by to meli delat ? ... dik oni maj nejbezpecnejsi internet na svete

[nautiluZ]

Boze totalni amaterismus, to jde resit velmi jednoduchym nastavenim firewallu a 200 sourcu neni masivni DoS (spravne tedy DDoS) utok, to nekdo nema z dlouhe chvile co delat.

Boze nechapu co to dela za lidi u GTSky, kdyz jim je schopno odstavit STM-16 ku nejakych 200 klientu to je vrchol amaterismu.

[Leeonek]

He, že je to nenapadlo dřív, teď jsi jim poradil a za 10 minut to bude všechno ok :)

[LFCIB]

No teda, čóveče, až teď nám to všem došlo, ono by to šlo vlastně vyřešit jednoduchym nastavenim firewallu. Hrozně se divim, že je to nenapadlo dřív, vždyť je to vlastně jasný.

Jo a co máš s tím bohem furt? Aha! Jo a promiň, machry nesnášim

LFCIB

[Filip Korbel]

Ja jsem se na to kdysi dival podobne Rikal jsem kolegum, tak tam dame poradny fw s dobrou propustnosti a jsme v suchu. Ouha Takovej proste neni, nebo o nem nevime. Nejvetsi box co jsme meli v ruce (znacka neni dulezita) umel 2 GB vcetne IDP karty s vlastnim CPU aby nezatezovala packet insp. Na tohle by potrebovali tak 3 boxy v redundantnim zapojeni, takze 6 boxu, plus nejaky L3 box, co by ten stream rosekal po 1GB aby to slo napojit. Nebo jsme videli nove datasheet pekneho IDP s 8 porty, coz to reseni dosti zlevnuje, ale na tuhle uroven to snad mimo ciny, jeste nikdo nensasadil.

[nautiluZ]

50 000 USD => 40 Gbit/s deep packet inspection + antivirus gw + advanced IPS

[Hynek (Pichi) Vychodil]

A packet rate machýrku? Ty jsi ale debil.

[nautiluZ]

a ja zas pitomce firewall ktery tomu je schopen zabranit stoji "pouhych" 150.000 Kc ... teda pro ty kdo si ho neumi "postavit" sami

[Filip Korbel]

Amaterismus to dle meho neni. Jde vzdy o to, jake finance jsou k dispozici na paterni routing. Osobne si myslim, ze i kdyz routuji treba na 7206 VXR s NPE-G2 CPU modulem, tak je to stalo hromadu penez. U nas neni moc operatoru, co by si mohli dovolit takovou investici pro transitni upstream. Takova investice je v meritkach naseho trhu naprosto nerentabilni - treba postavena na cisco 7600. Podivejte se, jaky je nevyssi model cisco v NIXu 1 nebo 2. Udaje pro 7600-dCEF256 rikaji: max 24M pckt na slot a 12,3 Gb to uroutje. Ale co to stoji? GTS, ani koupenou Nextru, nemuzeme hanet za to, ze nemaji boxy co by to ustaly, protoze by to nikdo nezaplatil. Kolik by pak stal 1TB v Naganu? Nehci ani vedet Tedy to je muj pohled lamy v tomhle oboru. Uz to je docela veda a mozna hodne z vas do toho vidi 10x vice nez chlapci z abicka, ale ucime se rychle a radi uslysime jiny pohled na vec.

[nautiluZ]

Bohudik situace uz je ponekud jina. Myslim ze uz dost lidi prislo na to ze predrazene, prestarle sr*ck* typu Cisco a spol uz nikoho neohromi. Dneska ruluje ATCA architektura a moderni dodavatele AKA Kontron, Microsys, Nortel a podobni

[Max]

Hmm, co tak se pokusit přes nějakou tu infikovanou IP zjistit útočníka? Ale to je asi na dlouho :-/, poslat mail majiteli IP atd., navíc nemusí spolupracovat atd. :-/
Zdar Max

[nautiluZ]

Mozna by stacilo znat zakladni principy shapovani a mit aspon trochu Filipa, jde to resit velmi, velmi jednoduse staci k tomu firewall a jednoduchy skript, ale protoze GTS nemam rad, tak zadarmo jim ho davat nebudu ;)

[Käyttäjä 11133]

Jasně, fandíme ti, seš obrovský GURU. lol

[hanzz]

:D tohle je po ranu lepsi zabava nez Red Dwarf :)

[stativ]

Ach jak jsi božský a geniální....

[hanzz]

jestli myslis neco takove, tak vis kam s tim :)

$IPTABLES -N syn-flood
$IPTABLES -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
$IPTABLES -A syn-flood -j DROP

[nautiluZ]

... uz chapu proc GTSka a spol. tak malo plati ... ne tuhle primitivnost sem opravdu nemyslel

[Grunt]

A jak to vůbec dopadlo?

Předpokladam ,že útok už ustal ,avšak zjistila se už příčina?(došel někomu dopis s požadavkem?)

Možná by mohl i někdo trošku zanlejší napsat nějaký článek jak takové útoky probíhají a jak se proti nim bránit(na torošku vyšší urovni než příběhy pro BFU)...myslim si ,že pár obyčejných pozemšťanů by to docela zajímalo co se děje na druhé straně "káblu".(Něco málo si sem tam přečtu ,avšak je to spíše na urovni SCI-FI kdy jediné co se dozvíte je že C.Kent zase porazil L.Luthora)

[Filip Korbel]

Mame dva podezrele subjekty. Jeden je z Francie a druhy z Ciny. Vice nemuzu rici. Utoky se stupnuji a dnes od 14:40 jsme dostali opet plnou palbu bez omezeni upstreamu na nove IP adresy. S GTS je uzavrena dohoda, ze zavre cely blok pro dotceneho zakaznika do doby nez, pro nej bude priveden samostatny patchcord s trafikem. Potom prestane byt zatezovan nas hlavni provozni segment. Navic se snad bude jednat o jineho tier1 poskytovatele. Zatim z nas stal caka krev

[Grunt]

Je to pociťovat...ten dotaz co sem napsal v 13:51 bylo to poslední co sem na ABC až do teď na ABC udělal.Jinak absolutně nedostupné a pokud už nějaký ping tak větší než 300ms.Myslim si ,že pokud už dostanete nějaký zásah ,tak je nejlepší vytahnout drát od ROUTERu a počkat až jich to přestane bavit ,poněvadž ABC je pro normální surf. stejně nedostupné.

Pěkně mňa štve že to odnášá zrovna Linuxový server...to si nemohli vybrat třeba server České pobočky Microsoftu?

Jinak držim všechny prsty...už to pomáli asi přestává byt sranda.

[Filip Korbel]

Diky za podporu. Co na to rict Je to normalni cyber crime.

[Grunt]

A to GTSko nefiltruje už na hraničních směrovačích ale půšťá to na plný plyn na zákazníka?

Je to normalni cyber crime.

No to není cyber crime ,ale pěkná zhovadilost...a to su zvědavý kdo za to bude potrestán.

[belisarivs]

Omlouvam se za OT, ale ten mix Cestiny a nareci se dost blbe cte. Nemohl byste to nejak ujednotit? Ja jsem taky psal v nareci (jsem ze Slovacka), ale z toho jsem vyrostl uz na zakladce.

Nic proti Vam. Mam pocit, ze tomu dost rozumite a proto me to zajima. Ale je to proste hure stravitelne. Dekuju pekne.

[Grunt]

Omlouvam se za OT, ale ten mix Cestiny a nareci se dost blbe cte. Nemohl byste to nejak ujednotit? Ja jsem taky psal v nareci (jsem ze Slovacka), ale z toho jsem vyrostl uz na zakladce.

Pokusím se ,avšak nevím jak mi to pujde...Česky jsem naposledy mluvil...no ,na základce.

Mam pocit, ze tomu dost rozumite a proto me to zajima.

Já?...o technologiích typu Cisco nebo sítích GTS si můžu nechat jenom zdát (polovina z toho co tu píší Admini je pro mě taky španělsky),a proto se přimlouvám za článek ať máme i my obyčejní uživatelé trošku šanci zjitit co se děje na druhé straně kabelu(o DDoS útocích už jsem něco četl ,ale většinou bylo jako spolehlivé řešení uváděno vytahnutí síťového kabelu).

[mameluk]

jj ten clanek by mohl byt zajimavy, teda az bude cas a jestli bude mit nekdo chut :)

[Jiří Hlinka]

Taky bych se přimlouval za článek (až bude klid...). Jirka

[LFCIB]

+1

[Tom]

+1 to nám v CCNA zatajili,že i ty jejich boxy můžou lehnout

[impact]

+1

[Dušan Hokův]

O GTS je spousta pribehu... Treba jeden jak funguje jejich dohledove centrum, kdy zakaznik hlasi nefunkcni konektivitu v Karlovych Varech a teprv po hlaseni zakaznika tam technik zjistuje, ze jim tam nejede optika, ze se nedopinga na router ve Varech. Nebo v nedavne dobe flapovani OSPF v siti GTS, kdy asi od 19h do cca pul treti rano druhyho uplne rozpadl routing uvnitr jejich site, takze chvili neslo vubec nic, po dvou hodinach zacal jit obcas ceskej net, pak zacala postupne nabihat i zahranicni konektivita. K tomu DDoSu: to neumi GTS kontaktovat spravce BGP routeru po ceste odkud jde utok a pozadat o filtry?

[Grunt]

K tomu DDoSu: to neumi GTS kontaktovat spravce BGP routeru po ceste odkud jde utok a pozadat o filtry?

Myslim si ,že zas tak jednoduché to nebude (už vzhledem k tomu ,že útok nejde z jedné sítě ale min. ze dvou směrů(Chiana a Francie nebo Frankfurt nebo bůh ví odkud a tam to pujde určitě z více sítí) a navíc komunikace s Čínou asi nebude také zrovna tak tak jednoduchá) ,avšak jak sa dívam ,tak pařáty sítě GTS sů docela dlůhé tak alespoň spustit filtry na hranicách kam až dosáhnů a pak sa pokusit komunikovat se sítěma blíže ke zdroji až jak to půjde a mohlo by to ČR docela ulevit.Avšak pokud by to bylo tak jednoduché tak už by to asi udělali (myslim ,že takový traffic v síti jim lhostejný asi nebude).

[Dušan Hokův]

Minimalne to mohla zastavit GTS-CE (GTS Central Europe - AS5588) ktery je na ceste do sveta kdyz se podivam na LG napr. pro rozsahy byvaleho Contactelu, ktery GTS koupila. To uz je zas ale jina pohadka.

[Filip Korbel]

[00001] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
162.192.210.118:14273 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00002] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
185.166.188.228:3582 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00003] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.215.123.252:19938 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00004] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.215.123.252:18561 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00005] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.215.123.252:4819 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00006] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.215.123.252:7904 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00007] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.212.138.190:3330 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.
[00008] 2006-12-27 14:40:22 [Root]system-emergency-00005: SYN flood! From
221.215.123.252:6323 to 195.70.x.x:80, proto TCP (zone Untrust, int ethernet3).
Occurred 1 times.

[Dan Ohnesorg]

Vidim dobre, ze 185.166.188.228 neni jeste nikomu prideleno? To vypada na zfalsovane adresy utocnika.

[Grunt]

No jo,jinak samá čína(neskusíme jim napsat e-mail?Kdo tu umí Čínsky?)...a kdo ví ,zda-li i to z Číny není zfalšováno(avšak to už se musí činit GTS)

to port 80?...jak to potom musí zvládat HTTP Servery?

[Michal Vyskočil]

Opravil jsem formátování, příště raději používej tag pre, lépe se to potom čte

[nautiluZ]

Tato diskuse me inspirovala k zalozeni ankety "Nej lamernejsi diskuse roku", nicmene potom co sem si uvedomil ze by byla i jasnym vitezem rozmyslel sem si to, tyto Dri$ty uz nemaji obdoby opravdu.

[Filip Jirsák]

Nechtěl byste si zde před založením ankety nejdřív založit účet? Udělalo by mi to radost. Já si vás pak na oplátku založím mezi blokované uživatele... Nebo nás snad hodláte poctít ještě nějakou jinou myšlénkou, než tou, že všichni ostatní jsou blbí, jenom vy víte, jak na to - ale nepovíte?

[Grunt]

Vidim ,že problematice DDos útoků či Administraci sítí rozumíte lépe...nechtěl by jste se ujat sepsání nějakého článku na toto téma?

Většina takových "lamerů" (včetně mňe) by vám byla vděčná a určitě by jsme se rádi poučili od takového experta jako jste Vy.

[rincewind]

Chybi Vam tam uvozovky u slova experta... ;)

[Václav "Darm" Novák]

A u "rozumíte"

[Grunt]

Ty jsem tam nepsal záměrně...kdo ví s kým máme tu čest.(Jenom doufam ,že to není další "SKILL Hacker" typu JXD a spol.)

[LFCIB]

Mě uplně stačí to zvláštní všudypřítomné slovo "nicmene". Stejně jako to slovo by mělo vypadnout z naší mluvy, ...

[wire]

pekne a ste si isti ze ten flood vobec z tych adries prichadza? nieje taky problem vygenerovat packet s lubovolnou ip adresou a s lubovolnou mac adresou

Potom by tie packety vobec nemuseli prichadzat z ciny a mozno ani mimo z CZ :) Ale to uz vy viete lepsie co vam tecie cez routre

[Leoš Houser]

A nemůžete zveřejnit IP adresy, ze kterých probíhá útok?

Viděl jsem tady výsledek nmap-nutí jedné z nich a byl to nějaký MikroTik. Z jakých OS přichází útok? Co se pokusit kontaktovat jejich adminy - i když se touhle dobou na to prakticky jistě vykašlou. :((