DDoS: Survival Guide

1. DDoS: Практическоеруководствоквыживанию ЛяминАлександр

3. Cтоимость арендыботнета – низкая

6. жадность

7. инертность

8. ущербность

10. Инструментарий Linux 2.6 iptables ipset nginx

11. HTTP Flood.Frontend Минимизируемразмерыбуферов large_client_header_buffers client_header_buffer_size client_body_buffer_size client_max_body_size Минимизируеможиданиеклиента reset_timedout_connection on; client_header_timeout client_body_timeout keepalive_timeout send_timeout

12. HTTP Flood.Frontend Иожидаемпопавшихсяботовна default vhost server { listen 80; server_name noname; return 444; } Ограничиваемколичествоодновременныхсоединенийсодногоip limit_zoneconlim $binary_remote_addrXXm; limit_connconlim XX;

13. HTTP Flood.Backend Бюджетированиенагрузкинаскриптовыйбэкендчерез limit_req_zone $binary_remote_addr zone=qulim:Xm rate=Yr/s; limit_req zone=qulim burst=Z;

14. HTTP Flood.Отфильтровать в один запрос log_format $http_accept $http_accept_language $http_accept_encoding; + grep --line-buffered = tail -f /var/log/nginx/myserver.access_log | br />grep --line-buffered br />-F '*/* en-us -' | br />grep --line-buffered -oE "OINK [0-9]{1,3}[0-9]{1,3}[0-9]{1,3}[0-9]{1,3} " | sed -u "s/^BOINK//" | xargs -n1 ipset -A myserv ивариациинатемуизmyserv.error_logпоключевомуслову limiting

16. 87.250.224.0/19 Yandex

17. 93.158.128.0/18 Yandex

18. 213.180.192.0/19 Yandex

19. 95.108.128.0/17 Yandex

20. 65.52.0.0/14 Microsoft

21. 209.85.128.0/17 Google

22. 81.19.64.0/19 Rambler*рамблер - этотелеком, итаминогдаживутботы.

23. Conntrack abuse ip_conntrack: table full, dropping packet ? Conntrackхранитсоединениявhashtableинебесплатен. Прибольшихразмерахтаблицыможно: net.ipv4.netfilter.ip_conntrack_tcp_timeout_* нопрощевыключить: iptables -t RAW -A PREROUTING -d$PUBLISHED_IP -j NOTRACK iptables -t RAW -A OUTPUT -d$PUBLISHED_IP -j NOTRACK

24. Большойобьемотфильрованыхботов? ipset егочудесныеb-tree дляплохихботов ipset -N myserviptree --timeout XX ipset -A myserv $OFFENDING_IP и -N goodbotsnethash --hashsize 512 --probes 4 --resize 50 дляхороших

25. SYN Flood syn-cookies! net.ipv4.tcp_syncookies = 1

26. Простомноготрафикаискладываетсяинфраструктурапровайдера?

27. Простомноготрафикаискладываетсяинфраструктурапровайдера?

28. Домашнеезадание Настроенныеnginx/ipsetнасервере Выключенный conntrack Выделенныйipдляпубликуемыхсервисов Представлениеосвязностихостера

29. Ничего не помогло? hll.msu.ru be@hll.msu.ru