Forum Debian Users Gang

Jacekalex napisał(-a):

TCP, UDP czy ICMP?

Gdybym to ja dokładnie wiedział :)

Jacekalex napisał(-a):

Ja bym radził Snorta, potrafi dosyć grzecznie logować prosto na konsolę, da się to wrzucić do jakieś bazy albo pliku  i analizować na 1000 różnych sposobów regexami.

przy próbie instalacji snorta chce mi pół systemu instalować :/

najlepszy byłby jakiś how to, ewentualnie exampel z wykorzystaniem tcpdumpa.
zapisałbym wynik tcpdumpa do pliku powiedzmy z minuty słuchania i taki plik "wygrepował" zliczając ilość połączeń do hosta.

dla inputa można łatwo zrobić netstatem i jego grepować, a tu chodzi konkretnie o forwardowany ruch.


a co powiecie o Iptraf? qrde, byłby wyśmienity ale pokazuje tylko TCP, nie pokazuje połączeń udp ani icmp w zestawieniu i sortowani

Ostatnio edytowany przez Nicram (2016-02-24 20:48:54)

Nicram napisał(-a):

Witam
Ostatnio mam jakieś ataki DDoS. Nie wiem czy jest to atak wiele do wielu ale na pewno jest to atak z wielu źródeł, ale czy do jednego ip to niestety nie wiem.
Na routerze działa quagga z bgp i są podpięte dwa łącza. Niestety nie ma żadnego analizatora by ładnie wyłapać ten ruch.
Chciałby np zapuścić tcpdumpa w momencie ataku, ale zanalizować wynik?

z góry dzięki za podpowiedzi.

Zrób port mirror na switchu  którego masz na brzegu sieci, postaw NTOP na jakimś luźnym kompie podpiętym pod mirror.
NTOP pozwoli Ci organoleptycznie ogarnąć co kto gdzie ;)

http://www.ntop.org/

Nie masz switcha na brzegu sieci - kup ;)

jurgensen napisał(-a):

Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.

Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w innym wątku. XD

Ostatnio edytowany przez Jacekalex (2016-03-01 18:01:01)

Jacekalex napisał(-a):

jurgensen napisał(-a):

Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.

Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w innym wątku. XD

To jak mierzenie wieloryba suwmiarką.
Da się, ale pomyśl, że można prościej i lepiej.
A, zapomniałem ego nie kazało.. ;)

zlyZwierz napisał(-a):

Jacekalex napisał(-a):

jurgensen napisał(-a):

Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.

Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w innym wątku. XD

To jak mierzenie wieloryba suwmiarką.
Da się, ale pomyśl, że można prościej i lepiej.
A, zapomniałem ego nie kazało.. ;)

Może i wieloryba suwmiarką, jednak w Ntopie można sobie pooglądać, a z różnych Snortów czy Tcpdumpów można wyczesać adresy  prosto do Ipseta,
jak to ładnie oskrypcisz, to będzie  robiło się samo, nie trzeba się  tym wtedy za bardzo opiekować.

Z resztą do Snorta były (i nawet są) dwa sympatyczne narzędzia, Snortsam i Guardian.pl, ale ostatnio Snort na różne sposoby stara się zakończyć z nimi znajomość, dlatego integracja Snorta z FW wymaga troszkę gimnastyki.

Pozdro

Ostatnio edytowany przez Jacekalex (2016-03-01 22:26:20)

zlyZwierz napisał(-a):

Da się i NTOP oskryptować.

http://www.ntop.org/ntopng/scripting-ntopng-with-lua/
http://lists.ntop.org/pipermail/ntop/2014-May/017789.html
https://github.com/xtao/ntopng/tree/master/scripts/lua/examples

http://www.wuerth-phoenix.com/fileadmin/NetEye_Conf … _LucaDeri.pdf

Oczywiście, ze się da, ale jeśli już pakujesz się w jakieś skryptolenie, to nie ma wielkiej różnicy, co tam pluje adresami do skrypta, Snort, Tcpdump, Suricata czy Ntop albo Ngrep.

Snortokształtne  sniffery mają tą zaletę, że można w nich stosować różne zestawy reguł pozwalające rozpoznać różne klasy ataków, podczas, gdy oskryptolony tcpdump czy ntop to jest tak ślepa śrutówka, która wali na oślep.

Nawiasem pisząc, sam poczciwy netfilter sam ma dość zabawek na ataki DOS/DDOS.
Ale też jest troszkę zabawy z prawidłową konfiguracją.

Ostatnio edytowany przez Jacekalex (2016-03-01 22:42:13)

Jacekalex napisał(-a):

Nawiasem pisząc, sam poczciwy netfilter sam ma dość zabawek na ataki DOS/DDOS.
Ale też jest troszkę zabawy z prawidłową konfiguracją.

Bez sensu, to jak zatykać odkręcony kran palcem w nadzieji, że przestanie pryskać z niego woda.
Są inne narzędzia do tego :)

zlyZwierz napisał(-a):

Ja tam wolę ;), ale niech sobie Marcin sam oceni, co Mu pasuje :)
Myślę, że jako ISP (a tym pewnie się zajmuje) mało interesuje go co to za atak, po co i dlaczego.
Interesuje go raczej cel ataku i wolumen - po to żeby wiedzieć, czy go olać, czy dodać do bgp blackhole.

Tak, dokładnie tak jest.
W związku z tym, że quagga na linuksie podczas ataku trochę "przysiadała", miałem overrun i dropy na sieciówkach a pakietów było max 250k-300k/s (tak pokazywało cacti, a czy to prawidłowa wartość to nie wiem). w tym momencie łącza od dostawców nie wzrastały na 100% a raczej spadały z i pinga robiła się szatkownica, w tym czasie zrywało sesje bgp i quagga kręciła, kiedy znów sesja się nawiązała quagga znów liczyła itd. efektem była degradacja łącza, w cacti statysyka pakietów 4-5x większa niż normalnie.
zainstalowałem sobie nawet ntopa z repozytoriów, żeby mieć podgląd i nie grepować tcpdumpa, ale w momencie ataku jak go odpaliłem to wszystkie procki 100%, load w górę, nawet nie mogłem zalogować się do ntopa. po prostu maszyna się zamuliła.
Boss postanowił zakupić coś konkretniejszego by przy takim ruchu się nudził :) czyli routerek cisco.
i tu się jeszcze zastanawiam, czy zrobić NetFlow z interfejsów od dostawców i ntopng czy raczej mirror portów i też zbierać ntopem.

ale zanim maszynka przyjedzie, niestety nie stać nas na zakup takiego nowego :/ a na ebay jest taniej, muszę radzić sobie z tym co mam, czyli tcpdup i grep.

Ostatnio edytowany przez Nicram (2016-03-01 22:53:14)

Czemu quagga (jak to kiedyś kolega papisał "kurwagga") a nie bird ?

Albo Openbgpd razem z całym systemem, firewallem PF i śliczną zabawką - PFsync.
Zdaje się, że  Cisco ani Juniper nic lepszego od OpenBSD w tych swoich gratach nie mają.

Ostatnio edytowany przez Jacekalex (2016-03-01 22:57:37)

Jacekalex napisał(-a):

Czemu quagga (jak to kiedyś kolega papisał "kurwagga") a nie bird ?

Albo Openbgpd razem z całym systemem, firewallem PF i śliczną zabawką - PFsync.
Zdaje się, że  Cisco ani Juniper nic lepszego od OpenBSD w tych swoich gratach nie mają.

Tak, niech teraz uczy się OpenBSD ;), jak całe życie na linuxie :)
W międzyczasie trenując skalowalnośc na żywym organizmie - w dodatku pewnie nie jego, tylko pracodawcy :)

E5345 to już zabytek, przeskakiwanie na kerzem (cisco) to też pewne ryzyko - Cisco nie wyeliminuje zatkanej rury (a do takiej sytuacji prowadzi nieuchronnie ddos).
Musiałbyś wdrożyć blackholing bgp, przy  udziale dodatkowych narzędzi.

Zamiast zabytkowego E5345 (stare delle 1950/2950 i inne zabytki z 2008r ;) ) Można zapodać coś takiego: http://allegro.pl/serwer-intelxeon-3-50ghz-16gb-3u- … 06138882.html
Dla tej wielkości ISP dwa koła to jak splunąć, a z pewnością ogarniesz  na tym te 200 kpps.

Dodatkowo zrezygnowąłbym z broadcomów całkowicie, a ruch zostawił na intelu82576/82599.

Szef ma konto na ispforum - niech rzuci okiem: https://ispforum.pl/index.php?topic=12966.0

PS

U mnie taki ruch to norma:

http://imgur.com/a/BsAii

model name    : Intel(R) Xeon(R) CPU E5-1620 v2 @ 3.70GHz
02:00.0 Ethernet controller: Intel Corporation 82599EB 10-Gigabit SFI/SFP+ Network Connection (rev 01)


Kolejek brak, tylko NAT i FIREWALL+BGP+OSPF
Kolejki na rozproszonych koncentratorach.

Ma ;)
Paw. Je.

Data rejestracji:
    Marzec 18, 2014, 10:32:07
Czas lokalny:
    Marzec 01, 2016, 23:34:31
Ostatnio aktywny:
    Kwiecień 29, 2015, 20:23:31

Wątek: Wykrywanie DDOSow na MT  (Przeczytany 1212 razy)