Newsgroup: it.comp.reti.ip-admin
Titolo: [LUNGO] DoS mitigation

Supponiamo di avere un cretino che si diverte
a lanciare dos belli spinti su alcune subnet.
Se le reti sotto attacco avessero una capacitï¿œ
di banda superiore a quella dell'attaccante,
basterebbe droppare tutto il traffico per
risolvere, grosso modo, in tempi brevi.
Supponiamo perï¿œ che le reti sotto attacco
abbiano una capacitï¿œ inferiore a quella
di chi attacca, un semplice drop non puï¿œ
bastare in quanto per poter droppare del
traffico, quest'ultimo deve essere giï¿œ
entrato nella rete e di conseguenza la
intaserebbe comunque. Il drop mi libererebbe
il canale in uscita, ma quello in ingresso
sarebbe comunque saturo.
Una soluzione puï¿œ essere quella di annunciare
le subnet sotto attacco con delle communities
predeterminate in modo da far ruotare in Null0
il traffico direttamente al provider a monte.
Altra alternativa sarebbe quella di aprire una
sessione bgp ed annunciare direttamente le
subnet su di essa. Il risultato sarebbe uguale
a quello del metodo precedente, cambia solo
l'implementazione.
In entrambi i casi, le reti sotto attacco sarebbero
irraggiungibili, e l'attaccante avrebbe portato
a termine il suo scopo.
Ma se questo pirla continuasse imperterrito
l'attacco per 10 giorni, ci si ritroverebbe
con le reti inutilizzabili per 10 giorni.
Qualche soluzione per bloccare "la sorgente"
anzichï¿œ "la destinazione" prima che il traffico
entri nella rete?
Ovviamente risulta difficile che il peer autorizzi
ad instradare in Null0 degli IP non appartenenti
alla mia rete perchï¿œ in caso di errore potrei
tranquillamente mettere ko la rete del carrier
stesso o quelle di altri listando gli ip errati.
(ci sarebbe una soluzione " a ponte " con un terzo
router creato appositamente per filtrare il traffico,
ma si fa prima ad implementarla che a spiegarla)
Come si potrebbe mitigare un dos del genere?
Qualche idea? Mi risulta difficile credere che non
si possa fare niente, se l'attaccato ha banda inferiore
all'attaccante.

 bastare in quanto per poter droppare del
Attacco spoofed oppure hai gli IP ? Nel secondo caso
gli IP spoofati sono "casuali" o appartengono al tuo
netblock ? Parliamo di intranet, extranet o internet ?
L'attacco ï¿œ generico o mirato a protocolli/porte ?

 L'attacco ï¿œ generico o mirato a protocolli/porte ?
Il mio ï¿œ un discorso generico.
Non ho nessun attacco, in questo momento, ma vorrei
capire come poterlo gestire al meglio nel caso si
presentasse.
Si parla di internet, ed afaik, attacchi generici o mirati
a protocolli/porte non fan differenza, in quanto devo
trovare il modo di bloccarlli *prima* che entrino nella
mia rete, per cui per forza di cose a livello ip/bgp o
simile. Eventuali controlli su porte e protocolli li potrei
fare se e solo se il traffico ï¿œ giï¿œ sotto la mia gestione,
cosa che non voglio assolutamente in quanto potrebbe
comportare un collasso in tempi brevi (se non collassasse
la rete, non avrei nemmeno il problema di come risolverlo.
vado giï¿œ di iptables e droppo)
Il blackholing degli ip di destinazione funziona, ma la
darebbe vinta al malintenzionato e sopratutto metterebbe
ko gli ip attaccati senza certezza che il malintenzionato
smetta in un tempo ragionevole. Se smettesse dopo 20 giorni?
Io mi ritroverei con un pezzo di rete down per 20 giorni perchï¿œ
appena tolgo dal blackhole gli ip coinvolti, l'attacco ripartirebbe.

all'attaccante.
Benvenuto in Internet...
-- 
ciao, |
Marco | The Internet is full. Go away.  -- Joel Furr

 Benvenuto in Internet...
:)

 normalmente al mio provider e quindi avrebbero precedenza?
Non esattamente.
http://www.prolexic.com/
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 
http://www.prolexic.com/
Hai esperienze in merito?
Mi sembra di capire che in caso di attacco
venga attivato un tunnel GRE e che le mie
subnet saranno annunciate da Prolexic e
instradate verso di me (dopo essere state
filtrate) tramite il tunnel.

 Hai esperienze in merito?
zarathustra:~ skull$ dig +short a 
www.surbl.org
72.52.4.65
zarathustra:~ skull$ dig +short -x 72.52.4.65
unknown.prolexic.com
.
Spero dica tutto...


 Spero dica tutto...
Si, usano la protezione dns.
A me interessa quella BGP...
Io ho scritto, attendo un loro contatto.
Chissï¿œ quanto costa....

> cosa intendi per "terzi"?
quando ti arriva una valanga di pacchetti l'unico metodo
per evitare di beccarsi un DoS � quello di essere in grado
di filtrare "upstream" si parlava (altrove :D) di una cosa del
genere anni addietro, l'idea era quella di utilizzare dei clients
posti "downstream" ed in grado di comunicare con un sistema
che, in caso di DDoS, in base alle informazioni fornite dal client
potesse applicare delle misure di "remediation"; so per certo
che tutta la faccenda (come esposta in quella discussione) �
stata poi implementata da alcune aziende ... ma non avendo
seguito gli sviluppi sinceramente non so "chi" lo abbia fatto
anzi... ora che mi ci fai pensare, quasi quasi mi informo :)


Questa soluzione, con la collaborazione del provider di upstream,
secondo me è molto valida in quanto permette di filtrare il traffico
prima che ti saturi la rete, nonché di lasciare operativi i servizi
esposti sui tuoi hosts. Per contro c'è da dire che prevede
infrastrutture aggiuntive a quelle normalmente previste per
l'erogazione del servizio.
Altra soluzione che, a mio modo di vedere, potrebbe essere valutata è
l'uso del QPPB, in modalità destination-based RTBH: apposite politiche
di QoS sull'edge del provider di upstream che intercettino il traffico
in base al prefisso annunciato e lo limitino dal punto di vista
dell'uso di banda.
Le soluzioni tipo Prolexic sono sicuramente valide, ma le vedo
impattanti sul design della propria rete, nonché sulle perfomances
erogate; insomma, per come la vedo io, non è che in quattro e
quattr'otto uno prende e mette in piedi il tutto!
Morale della favola: è una bella lotta! :)
Just my two cents
--
Pier Carlo Chiodi
http://pierky.wordpress.com/

 quattr'otto uno prende e mette in piedi il tutto!
Io non ho ben chiaro come funzionano tali soluzioni.
Si tratta di instaurare peering BGP sempre e solo con
Prolexic? Oppure attivo la sessione BGP verso di loro
se e solo se sono soggeto ad attacco DoS ?
Credo la seconda, dato che se io annunciassi le mie reti sia
verso i miei peer, sia verso prolexic, quest'ultimo non avrebbe
mai priorit�, ne per numero di hop (ne avrebbe almeno uno in
pi� rispetto al peering diretto), ne per priorit�.
Forse l'unica sarebbe quella di annunciare subnet pi� ristrette,
ma sotto il /24 non si instrada, per cui, una /32 su prolexic
non ci arriverebbe mai, senza annunciare anche le /24
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito � di fare il possibile per la
salvezza degli anni nei quali viviamo,
sradicando il male dai campi che conosciamo.

 Chissï¿œ quanto costa....
I costi son proibitivi.
Costa 10 volte meno farsi attivare un carrier da usare
solo per il blackholing.
(il 10 volte non ï¿œ casuale, ï¿œ proprio cosï¿œ)
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito ï¿œ di fare il possibile per la


dell'uso di banda.
Non serve a niente se non puoi fare QoS sulla base di ACL (conosco chi
lo fa, non sono sicuro che valga il lavoro visto che tanto i clienti in
genere non saprebbero o non potrebbero usarlo).


solo per il blackholing.
Se un tuo transito non supporta il blackholing cambialo.
Detto questo, aziende come Prolexic fanno molto piï¿œ del semplice
blackholing visto che filtrano il traffico a L7 (poi sulla qualitï¿œ di
ciascuno si puï¿œ discutere).


 ciascuno si puï¿œ discutere).
Forse tu non hai visto la quotazione che mi han fatto.
Io dico che 30.000 dollari AL MESE per picchi di 20mbit sia un furto.
Lascia pure che fanno molto di piï¿œ, ma a 30.000$ mensili piï¿œ altri
30.000 di attivazione circa, mi attivo un transito con svariate
centinaia di megabit di traffico da usare solo per il blackholing.
Il mio cliente non ï¿œ una banca o una agenzia governativa, non deve
proteggersi da terroristi informatici con DDoS da gbit e gbit.
Prolexic ha detto di riuscire a mitigare immediatamente fino a 150
gbit con l'opzione di upgrade di banda in qualsiasi momento.
'zzarola, ï¿œ piï¿œ di 3 volte il traffico totale del mix...

 genere non saprebbero o non potrebbero usarlo).
Perdonami, non mi è chiaro questo tuo passaggio.
Per come la vedo io l'implementazione di QPPB associato ad ACL
"semplici" lato ISP riuscirebbe a mitigare gli effetti di un DOS.
Ad esempio: una community che intercetti il traffico verso la vittima
e lo associ ad un determinato qos-group, insieme ad una ACL che filtri
soltanto traffico UDP, permetterebbero di alleviare DOS basati su UDP
flooding.
Sul fatto che i casi da poter mappare in questo modo siano pochi, e
sul fatto che poi bisogna essere in grado di utilizzare questi
strumenti... beh, è un altro discorso! Si fa quel che si può! :)

Io dico che 30.000 dollari AL MESE per picchi di 20mbit sia un furto.
Se quei soldi li guadagni in un giorno non ï¿œ poi tanto.


 Se quei soldi li guadagni in un giorno non ï¿œ poi tanto.
Direi di no, altrimenti il problema non sussisterebbe.
Ci si affida a loro e via...
Ma 30k dollaroni mensili sono un po fuori portata del
cliente.