Newsgroup: it.news.net-abuse
Titolo: Fastweb e attacchi dos

Salve a tutti,
scrivo qui per la prima volta in cerca di un consiglio.
Ho un sito web molto frequentato (circa 26000) iscritti hostato su una 
10mbit fastweb con ip pubblico sui miei servers.
Da domenica sera il sito non è reggiungibile, chiamo fastweb e mi dicono 
che arrivano troppi pacchetti sulla porta 80, controllo il firewall ( da 
me gestito) e vedo che c'è un'attacco dos tipo syn-flood in atto su 
quella porta.
Parlo con il tecnico fastweb che mi dice che è il media converter, viene 
qui cambia tutto e il problema rimane, gli ribadisco che è un'attacco e 
finalmente lo convinco, cosa fa lui? Mi chiude la porta 80 perchè dice 
che il router non ce la fa, altra soluzione è cambiare ip.
Ora io mi domando, a parte che non credo che il CISCO 1700 che non sarà 
il massimo dei router, non abbia un'acl per i syn-flood, ma poi non ci 
sonp altre soluzioni oltre che cambiare ip, che oltretutto mi sembra una 
soluzione inutile visto che basta puntare l'attacco sul nuovo ip per 
rigirare la situazione?
Cosa mi consigliate?
Grazie.

rigirare la situazione?
Usa un sistema operativo decente e correttamente configurato in modo da
non risentire negativamente dal SYN flood.
Sempre che non ti saturi la connessione, in questo caso ovviamente ti
attacchi.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Cosa mi consigliate?
Visto che gestisci personalmente la parte firewall, e' bene che tu
implementi anche una soluzione IDS adeguata -> per il resto, in base
alla determinazione dell'origine dell'attacco in base ai vari log, sta a
te come regolarti sia con la segnalazione al provider di competenza che
con le denunce del caso.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 
Ciao,
sò bene come funziona un synflood e il mio sistema operativo (linux) non 
ne risente assolutamente infatti vengono filtrati tutti i pacchetti 
adeguatamente, il problema è proprio la cpu del router che non ce la fa, 
quindi io posso fare qualunque cosa sul mio firewall o server ma se si 
bloccca il router è tutto inutile.
Leggendo il manuale cisco loro sostengono che con questa acl si 
migliorano le cose :
http://www.techtown.it/public/Download/Articoli/Security/sicurezza_router_cisco.pdf
 
pag 14

 
La parte firewall è ok, il problema è a monte proprio il router!
Infatto sto cercando di loggare il più possibile per fare le dovute 
segnalazioni anche se fastweb me lo sconsiglia perchè dice che è la 
strada più lunga.
Grazie.

 attacchi.
Un provider serio e collaborativo, per quanto possibile, cercherebbe di 
limitare il traffico più a *monte* mediante propri router. Non sempre ci 
si riesce, ma almeno ci si prova.

 strada più lunga.
Un SYN flood fatto come si deve usa sorgenti spoofate.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 
Ed in quel caso ti attacchi :)

 Ed in quel caso ti attacchi :)
Se ho un router ed un sistema operativo che non siano giocattoli, non è
un grosso problema.


 un grosso problema.
Non è detto. Se l'effetto del syn flood è quello di saturare la tua 
banda, devi necessariamente rivolgerti al provider. In questo caso un 
conto è dire "usa i tuoi router per ridirigere il traffico originato da 
1.2.3.4 su un blackhole" e un conto è dire: "ho dei pacchetti che mi 
consumano tutta la banda, hanno un source IP e TTL variabile per cui 
sono ovviamente spoofati, me li bloccate?". Nel secondo caso la cosa è 
molto più incasinata.

 
Infatti è quello che mi aspetto di trovare. :(

lorenzodes ha scritto:

Infatti è questo che mi lascia sbigottito, non hanno fatto nulla a 
*monte* ora vengono a cambiarmi il router, vedremo cosa succede.

 
Ripeto che il firewall dovrebbe respingerli il problema è il router che 
a questo punto immagino sia un giocattolino, ma non posso tutelarmi in 
nessun modo? In fondo non dipende dalle mie macchine, ma dal router che 
è di proprietà Fastweb!

lorenzodes ha scritto:

No l'effetto del syn-flood è quello di saturare il processore del 
router, la banda sembra libera, il problema è che da quello che mi dice 
Fastweb individuare questi pacchetti per loro è complicato, in parole 
povere non hanno tempo! Veramente non ho parole.

 Infatti è quello che mi aspetto di trovare. :(
Ed è quello che devi verificare prima di chiedere l'intervento del provider.

 povere non hanno tempo! Veramente non ho parole.
Se la banda non è completamente saturata, ti rimando ai suggerimenti di 
Macs.

 Macs.
Avessi accesso al router l'avrei fatto io, lo suggerirò ai tecnici fastweb.
Grazie. ;)

 Cosa mi consigliate?
Di cambiare nick !

 povere non hanno tempo! Veramente non ho parole.
In genere *e'* complicato, non e' questione di buona volonta'.
Giusto per completezza, potresti postare gli header ip+tcp del
traffico che arriva per vedere se c'e' qualcosa di paricolare,
ma nella maggior parte dei casi i SYN sono indistinguibili dal
traffico lecito.
Fabio (ma non e' OT tutto cio'?)

 banda, 
Ma in quel caso non e' piu' un SYN flood. Non propriamente, per 
lo meno.
Fabio

 1. Decrementando i timeout delle connessioni (seppur sconsigliato)
Ora faccio una domanda scema: ma... FW gestisce il routing del
traffico tcp in modo stateful?
Fabio

 prova. 
eh si, però non è mica facile limitare un tale tipo di attacco. 
Perartro, ora non ricordo quale, ma c'è un bug in un CISCO che 
era molto sensibile a questo tipo di attacchi. 
-- 
Ciao, Dmitry
I've a dream... bring usenet to every family 

 
Infatti sono venuti hanno cambiato il router ed ora è tutto ok!
Grazie per l'interessamento ;)

bio ha scritto:

Hanno risolto cambiando il router.
Grazie a tutti ;)

 Di cambiare nick !
Beh anche il tuo non è un granchè :P
-- 
-- TiVuTiBi.com - Webmaster (
www.TiVuTiBi.com
)

migliorano le cose :
Questo permette di proteggere sistemi operativi che non sono in grado di
farlo da solo, ma il router deve comunque ricevere e gestire tutti i
SYN (anzi, deve usare molte più risorse per provare a gestire in proprio
l'handshaking di TCP) e quindi non risolverebbe il tuo problema che è
diverso.
Inoltre non sono nemmeno sicuro che questa feature sia disponibile per
il tuo router, a naso mi sembra una cosa da PIX.


si riesce, ma almeno ci si prova.
Un provider serio e collaborativo farebbe traffic scrubbing, ma è il
genere di feature che si paga e caramente. :-)
Uno altrettanto serio e collaborativo ma un po' più economico
proporrebbe di filtrare l'IP colpito, che ucciderebbe il servizio
attaccato ma salverebbe gli altri.


 banda
Lo scopo di un syn flood non è quello di esaurire la banda...


 Di questo sei certo?
Io l'ho visto succedere, ma con IOS piuttosto datati, in verità.


 banda... 
potrebbe esserne *anche* una conseguenta, credo.


 
scopo != effetto :)
So bene quale è lo scopo primario di un syn-flood :)

 
Già. Il che mi fa ritenere che FW non si mette problemi a mettere in 
opera apparecchi datati.

Lo scopo di un syn flood non è quello di esaurire la banda...
Veramente sì, visto che gli effetti propri di un SYN flood sono
risolvibili abbastanza facilmente con un buon OS o firewall.
In questo modo si genera traffico molto difficile da distinguere da
quello lecito e quindi difficile da filtrare.


 quello lecito e quindi difficile da filtrare.
Ottima considerazione, in effetti, ma la forza di un siffatto DoS, in
origine, era proprio che non serviva un puttanaio di banda per far fuori
un sistema.
