Newsgroup: it.comp.reti.locali
Titolo: difesa da attacchi DOS

Volevo chiedre il vostro parere su un problema che sto cercando di
risolvere. Purtroppo pare che il server irc che frquento e sul quale ho
parecchie amicizie si sia popolato di un bel numero di simpatici cracker che
si divertono a effettuare attacchi DOS agli utenti. La soluzione, se è
cercato bene in internet, consistere nel far filtrare al mio firewall il
protocollo ICMP in arrivo da internet. Mi sorge però un dubbio, se io blocco
tale protocollo, non corro rischio di andare in "ping time out" sulla rete
irc?
P.S. Siccome su questi argomenti so solo quanto ho letto su alcuni articoli
di PC Prof. sapreste indicarmi un sito o dei testi in cui approfondire
l'argomento? Grazie.


Ti possono venire in aiuto alcuni personal firewall, tipo mcafee firewall V
4.02 che ti permette di non bloccare completamente il protocollo icmp, ma di
ridurne il flusso ad un determinato nr. di pacchetti per secondo, evitando
cosi il temibile DOS (Denial of service) ed il D-DOS (distrib. DOS), ma
dandoti la possibilità di pingare in LAN/WAN.
Se hai tempo guardati 
www.bismark.it
 c'è diverso materiale e link utili
--------------------------------
Inviato via 
http://usenet.libero.it

 dandoti la possibilità di pingare in LAN/WAN.
Contro un *vero* DoS (o -peggio- DDoS) c'è veramente poco da fare, il
più semplice (a cui si faceva riferimento) ossia quello basato su ICMP
ha comunque effetto anche mettendo in "drop" le risposte locali dato che
l'idea è quella di inviare una serie di ICMP broadcast su subnet "vicine"
alla vittima inserendo come origine della richiesta l'IP della vittima
questo
significa che le macchine delle subnet invieranno in risposta un mucchio
di ICMP_ECHO_REPLY verso l'IP attaccato e questo in ogni caso anche
se la vittima non "riceve" tali pacchetti crea una saturazione della banda
disponibile ... e conseguente DoS
Ciao
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm


Vero, ma mi vien da pensare che chi sta perpetrando questo tipo di attacco
sia piu un giocherellone che non sa esattamente quello che sta facendo. e mi
spiego:
se qualcuno vuol rischiare 'la pelle' per un D-DOS lo deve fare con
cognizione di causa sapendo esattamente quali sono gli effetti prodotti,
persone per cui esperte, che non credo abbiano la pretesa di 'aggredire'
l'utente sfigato di IRC.
Ti riassumo l'esperienza vissuta nella mia azienda (di cui ometto
chiaramente il nome):
un utente connesso in internet (direttamente senza proxy / firewall) ha
provocato 'per gioco' un d-dos ad una azienda americana, l'utente smaliziato
non sapeva che stava pingando un DNS mettendolo fuori servizio per mezza
giornata circa. Morale della storia, l'azienda americana si è rivalsa sulla
nostra per qualche miliardo di danni, ed il dipendente ignaro c'ha rimesso
il posto di lavoro.
Per cui se questo genere di attacchi continuano e non si tratta di episodi
casuali, vale la pena di segnalarli al ISP (Internet Service Provider), in
modo che la cosa abbia il suo corso, e se le cose stanno come pensano il
giocherellone lo beccano e lo castigano te lo posso assicurare, spulciare
sui log dei NAS o IAS è una cosa banale


 non sapeva che stava pingando un DNS mettendolo fuori servizio per mezza
Hm ... ok, anche se questo non è esattamente il DDoS che intendevo; mi
spiego, se qualcuno ha un sufficiente numero di "zombies" (macchine con
trojan/bots) si può permettere di "bruciarne" qualcuno anche per floodare
uno sfigatissimo utente IRC ... e questo senza rivelare il suo IP, a quel
punto
non c'è verso (beh quasi <g>) di risalire all'attaccante dato che in effetti
quello che la macchina/rete attaccata vede sono degli IP diversi tra loro
e senza alcuna relazione con l'indirizzo del reale attaccante


 e senza alcuna relazione con l'indirizzo del reale attaccante
Concordo, ma proprio per questo immagino che chi è in grado di non farsi
beccare (avere degli zombie non è alla portata di tutti significa avere
accesso ingiustificato a sistemi terzi), in genere non attacca un utente IRC
(...in genere non vuol dire che sia una regola).
Tuttavia l'utente in questione teme un DOS dalla WAN e quindi eventuale
traffico nella WAN stessa non lo dovrebbe preoccupare, si dovrebbe
preoccupare piuttosto l'ISP
