Ddоs практическое руководство к выживанию А.Лямин

DDoS:
Практическое

руководство
к
выживанию

Лямин
Александр

Экономика
DDoS:

• 
Доступность
-‐
высокая

• 
Cтоимость
аренды
ботнета
–
низкая

• 
Эффективность
-‐
высокая

Смотрим
врагу
в
лицо

Исчерпание
канальной
емкости

1 0 0 . 0 0 0 +

Инфраструктура
сети
10. 000+

Сетевой
стек
системы
1.000+

Приложение
100+

Cвойства
ботнета:

• 
конечность/самосохраняемость

• 
жадность

• 
инертность

• 
ущербность

• 
транснациональность

DDoS
-‐
он
пришел…

1.  Не
паникуем

2.  Удаляем
hWp
сервер
из
автостарта

3.  Что
в
top?

4.  Интересные
сообщение
в
dmesg

5.  Содержимое
netstat

6.  Анализируем
access.
Log

Инструментарий

1.  Linux
2.6

2.  iptables

3.  ipset

4.  nginx

HTTP
Flood.
Frontend

Минимизируем
размеры
буферов

large_client_header_buffers

client_header_buffer_size

client_body_buffer_size

client_max_body_size

Минимизируем
ожидание
клиента

reset_wmedout_connecwon
on;

client_header_wmeout

client_body_wmeout

keepalive_wmeout

send_wmeout

HTTP
Flood.
Frontend

И
ожидаем
попавшихся
ботов
на
default
vhost

server
{

listen

80;

server_name

noname;

return
444;

}

Ограничиваем
количество
одновременных
соединений
с
одного
ip

limit_zone
conlim
$binary_remote_addr
XXm;

limit_conn
conlim

XX;

HTTP
Flood.
Backend

Бюджетирование
нагрузки
на
скриптовый
бэкенд
через

limit_req_zone

$binary_remote_addr

zone=qulim:Xm

rate=Yr/s;

limit_req
zone=qulim
burst=Z;

HTTP
Flood.
Отфильтровать
в
один
запрос

log_format

$hWp_accept
$hWp_accept_language
$hWp_accept_encoding;

+

grep

-‐-‐line-‐buﬀered

=

tail
-‐f
/var/log/nginx/myserver.access_log

|

grep

-‐F
'*/*
en-‐us
-‐'
|

grep

-‐oE
"BOINK
[0-‐9]{1,3}.[0-‐9]{1,3}.[0-‐9]{1,3}.[0-‐9]{1,3}
"
|
sed
-‐u

"s/^BOINK//"
|
xargs
-‐n1
ipset
-‐A
myserv

и
вариации
на
тему
из
myserv.error_log
по
ключевому
слову
limiwng

HTTP
Flood.
Кого
фильтровать
не
нужно

Ваши
собственные
ajax
скрипты
(вставляем
заголовки-‐маркеры)

Полезных
ботов,
например
поисковики:

§ 
77.88.0.0/18
Yandex

§ 
87.250.224.0/19
Yandex

§ 
93.158.128.0/18
Yandex

§ 
213.180.192.0/19
Yandex

§ 
95.108.128.0/17
Yandex

§ 
65.52.0.0/14
Microso–

§ 
209.85.128.0/17
Google

§ 
81.19.64.0/19
Rambler*

рамблер
-‐
это
телеком,
и
там
иногда
живут
боты.

Conntrack

abuse

ip_conntrack:
table
full,
dropping
packet
?

Conntrack
хранит
соединения
в
hashtable
и
небесплатен.

При
больших
размерах
таблицы
можно:

net.ipv4.nešilter.ip_conntrack_tcp_wmeout_*

но
проще
выключить:

iptables
-‐t
RAW
-‐A
PREROUTING
-‐d
$PUBLISHED_IP
-‐j
NOTRACK

iptables
-‐t
RAW
-‐A
OUTPUT
-‐d
$PUBLISHED_IP
-‐j
NOTRACK

Большой
обьем
отфильрованых
ботов?

ipset

его
чудесные
b-‐tree
для
плохих
ботов

ipset
-‐N
myserv
iptree
-‐-‐wmeout
XX

ipset
-‐A
myserv

$OFFENDING_IP

и

-‐N
goodbots
nethash
-‐-‐hashsize
512
-‐-‐probes
4
-‐-‐resize
50

для
хороших

SYN
Flood

syn-‐cookies!

net.ipv4.tcp_syncookies
=
1

Просто
много
трафика
и

складывается

инфраструктура
провайдера?

Домашнее
задание

1.  Настроенные
nginx/ipset
на
сервере

2.  Выключенный
conntrack

3.  Выделенный
ip
для
публикуемых
сервисов

4.  Представление
о
связности
хостера

Ничего
не
помоголо?

hll.msu.ru

be@hll.msu.ru

Ddоs практическое руководство к выживанию А.Лямин

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to Ddоs практическое руководство к выживанию А.Лямин

Similar to Ddоs практическое руководство к выживанию А.Лямин (20)

Ddоs практическое руководство к выживанию А.Лямин