DDos Prevention

[PreventDdos]

Olá Birkoff,
bem nao vou entrar em atrito aqui pois nao é minha intenção e nem posso rebater a tudo,porem a maioria das implementaçoes no registro sao contra Syn Flood que nao deixa de ser um tipo de Ddos,quando aos mais ou menos 15 tipos nao me recordo onde,mas o que me lembro é que era de uma fonte segura ,nao qual especificava logo abaixo do nome do ataque a esecificação do mesmo,ou seja quais eram seus efeitos etc...me lembro quando eu usava panda antivirus como firewall,a cada minuto aparecia um Denial of service attack,ou seja nao creio que seria um falso positivo pois toda vez aparecer é pq realmente algo de errado estava ocorrendo,isto te falo a quase 2 anos atras,mas eu mal sabia configurar um firewall....
sei q a maioria do pessoal aqui é Linux e ponto final,windows é meio que motivo de esculaxo,mas beleza nada contra ,cada um com sua opiniao,e tbm percebi que o pessoal aqui realmente manja do assunto e bem afundo mesmo ,mais um motivo pra mim nao ficar rebatendo...
o fato é que nao sou de mentir ou inventar algo para dar mais veracidade em minhas afirmaçoes,quando eu disse que li sobre tipos de ataques Dos/Ddos de fato eu o fiz mas nao me recordo direito pq foi mais um scanning reading do que um leitura bem dedicada....
enfim agradeço a atençao de qqr maneira!
abraços,
RR

[Big Head]

Senhores,

Sejamos realistas: ataque DDoS NÃO se previne, apenas se combate e ainda sim, em muitos casos, este combate é apenas para diminuir o impacto.

Atualmente, a maioria dos ataques de negação de serviço antes de conseguir afetar seu equipamento, afeta seu link saturando-o rapidamente, e aí, não existe tuning de registro de S.O. que dê jeito.

A única solução é que o ataque seja contido dentro da infra do seu ISP. Porém quando o ataque DDoS é bem feito, onde a origem ou está bem spoofada ou é oriunda de uma grande BOTNET, o bloqueio pela origem é praticamente impossível. Neste caso, a única solução possível é o bloqueio pelo destino.

E numa situação como a descrita acima, ainda existem duas possibilidades:

1) Caso os pacotes do ataque sejam em um protocolo ou uma porta de destino específica e estes são diferentes do serviço que está rodando no IP atacado, o bloqueio no ISP pode até ser efetivo, criando-se uma lista de acesso bloqueando os pacotes destinados ao IP atacado, porém apenas no protocolo e na porta destino dos pacotes de ataque.

2) Porém se o ataque for em portas aleatórias ou a porta de destino dos pacotes de ataque for a mesma do serviço que está rodando no endereço atacado, aí sim você tem um grande problema. Nesta situação você tem o seguinte quadro: seu link está saturado, devido ao ataque, ou seja, você está praticamente todo parado e não é possível bloquear apenas os pacotes de ataque. Numa catástrofe como esta, o único jeito é que seu ISP bloqueie o seu próprio IP, assim seu link "desafogará", porém o IP atacado ficará fora e seu serviço que está rodando nele parado. Visualizando pelo lado positivo:antes apenas um serviço fora do que tudo parado.

O pior de tudo é que se você tiver que ligar para seu ISP para pedir este bloqueio, você ainda terá que enfrentar o tempo de demora do atendimento do ISP para passar para alguém que consiga fazer este tipo de bloqueio. e normalmente, como o padrão de qualidade de atendimento dos ISPs aqui no Brasil não é nada satisfatório, você muitas vezes enfrenta algumas horas até chegar na pessoa que resolva e esse tempo todo parado já te custaram alguns milhares/milhões.

Toda essa historinha triste é na verdade para falar de uma medida de contorno que ainda não tinha lido aqui neste tópico: a community de BlackHole do BGP, que é para contornar casos da situação #2 sem precisar da intervenção manual do seu ISP.

Sem entrar em muitos detalhes do funcionamento de BGP (que não é o foco agora), apesar de a community não ser um atributo transitivo obrigatório do BGP, a community de BlackHole (RFC 5635) é combinada com seu ISP dentro das suas políticas de roteamento, para quando você está sendo atacado e tem condições de identificar qual(ais) IP(s) seu está(ão) recebendo este ataque, você faz o anúncio BGP deste(s) IP(s) no BGP com esta community de BlackHole e seu ISP ao receber um anúncio com esta community, altera o next-hop do prefixo anunciado, para a Null0 de seu equipamento. Desta forma você contém o ataque (na infra do seu ISP) e ainda tem o controle para bloquear e desbloquear o IP atacado.

Se alguém tiver alguma dúvida, ou quiser corrigir alguma bobagem que eu possa ter escrito, fiquem à vontade.

[]'s
BH

[brunosolar]

Big Head esta ai uma boa explanação.

[Guzpido Krush]

Toda essa historinha triste é na verdade para falar de uma medida de contorno que ainda não tinha lido aqui neste tópico: a community de BlackHole do BGP, que é para contornar casos da situação #2 sem precisar da intervenção manual do seu ISP.

http://www.secsup.org/CustomerBlackHole/

[Birkoff]

Olá Birkoff,
bem nao vou entrar em atrito aqui pois nao é minha intenção e nem posso rebater a tudo,porem a maioria das implementaçoes no registro sao contra Syn Flood que nao deixa de ser um tipo de Ddos,quando aos mais ou menos 15 tipos nao me recordo onde,mas o que me lembro é que era de uma fonte segura ,nao qual especificava logo abaixo do nome do ataque a esecificação do mesmo,ou seja quais eram seus efeitos etc...me lembro quando eu usava panda antivirus como firewall,a cada minuto aparecia um Denial of service attack,ou seja nao creio que seria um falso positivo pois toda vez aparecer é pq realmente algo de errado estava ocorrendo,isto te falo a quase 2 anos atras,mas eu mal sabia configurar um firewall....

Por isso que insisto. Você atirou pra todos os lados, TALVEZ acertou algumas moscas, mas provavelmente criou um monte de problemas e NÃO resolveu nenhum problema de DDoS. Talvez aalgum de DoS, mas não um DDoS São coisas diferentes, como os colegas tentaram fazer você entender.

No mais, segurança não é feita na base do "chutometro", "atirar pra todos os lados" e por aí vai, vai saber se não foi nenhuma das tuas modificações que resolveu seu problema, mas sim algum bloqueio feito lá no ISP, ou simplesmente as fontes de ataque desistiram? Isso SE você realmente alguma vez sofreu um DDoS. O que os colegas, cada um do seu jeito (alguns mais irônicos) querem demonstrar é isso que o Big Head falou, não se resolve DDoS por regrinhas no registro. Ponto final

sei q a maioria do pessoal aqui é Linux e ponto final,windows é meio que motivo de esculaxo,mas beleza nada contra ,cada um com sua opiniao,e tbm percebi que o pessoal aqui realmente manja do assunto e bem afundo mesmo ,mais um motivo pra mim nao ficar rebatendo...

Aí você está enganado. Não vi esculaxo quanto a "SO", aliás o pessoal aqui não costuma ter esse tipo de "preconceito". Temos turma do BSD, temos turma do Linux, temos turma do Windows, o conhecimento de cada um é importante. Mas aqui estamos discutindo uma questão acima de sistema operacional.

o fato é que nao sou de mentir ou inventar algo para dar mais veracidade em minhas afirmaçoes,quando eu disse que li sobre tipos de ataques Dos/Ddos de fato eu o fiz mas nao me recordo direito pq foi mais um scanning reading do que um leitura bem dedicada....
enfim agradeço a atençao de qqr maneira!
abraços,
RR

Não estamos falando que você está mentindo. Mas que está entendendo algumas coisas de maneira incorreta. Insisto: Você PODE ter acertado alguma "mosca" que tava te atrapalhando, mas certamente você não criou uma proteção contra DDoS.

[PreventDdos]

Ola Birkoff/Guzpido/BigHead/Bruno Solar,
agradeço a todos por todos esclarecimentos aqui e realmente ,agora compriendo mais claramente os efeitos catastroficos de um Ddos que vai além de um single PC e sim afeta diretamente no Link alvo,mas como Birkoff mesmo mensionou pode ser que eu sempre fui alvo de Dos e nao Ddos...sendo assim devo ter matado algumas mosquinhas que me trouxeram beneficios incalculaveis a nivel de stress,dinheiro e etc...pois estava pagando para nao ter internet hehe...
Mas o maior beneficio que eu possa ter obtido é ter ampliado meus conhecimentos em alguns setores etc....vale ressaltar que uso Dns publico entao isto tbm deve ajudar pois utilizo dos dados da minha conta do Open dns ,para configurar DNSSEC no meu group policy assim aprimorando os scope etc...
Pq quando eu utilizava dns dinamico da operadora era horrivel pois clicava nas paginas em muitas vezes e logo de cara dava nao pode se conectar etc etc.....
Obviamente so depois olhando pelos logs fui perceber que se tratava de um problema de Dns query timeout dai implementei esta entrada no registro e nunca mais tive este problema ,mesmo assim optei por usar open dns....
me desculpem se interpretei mau algumas pessoas,pois foi meio que um choque as primeiras respostas que obtive daqui ,que meu intuito era so compartilhar algo que eu venho estudando,dai vem um storming de isso nao funciona e num sei oque , dai passei a refletir e analizar mais o forum e vi que o pessoal aqui tem um conhecimento muito acima da media em termos de seguranca da informação..nunca fiz curso ou seja fui aprendendo por pesquisas mesmo o que me ajudou muito,e ate pude matar moscas que ja é um grande progresso neh? isahaihsaiuahs
abraços pessoal e agradeço a compreensao e a paciencia!
RR

[PreventDdos]

tava vendo um artigo no computer world magazine dai olhei no primeiro banner no topo da pagina estava: See how at&t can prevent u from distribute denial of service e clickei na curiosidade porem nao consegui ver o video pois creio que algum add on do media player ou outro esta desabilitado mas de qqr forma vou passar o texo e o link se conseguirem ver o video...
DDoS Defense DemoSend to a colleague
DDoS DefenseExecutive SummaryDistributed Denial of Service (DDoS) attacks are among one of the most disruptive and vicious activities passing over the Internet. DDoS attacks can overwhelm web servers and saturate a company's connection to the Internet resulting in the inability to maintain efficient communications and connectivity and can ultimately impact business operations. By integrating the predictive and early warning capabilities of AT&T Internet Protect with the DDoS Defense capability, AT&T is delivering one of the most potent tools against denial of service attacks, which have crippled entire networks and brought businesses to a halt. Don't allow DDoS attacks to cripple your business operations. Rather, let AT&T DDoS Defense help you filter out malicious traffic before it impacts your network and servers, keeping your business running smoothly.

Link: DDoS Defense | Executive Summary | DDoS Defense | Demo | Enterprise Business | AT&T

abraços

[PreventDdos]

Bem tvz o que vou postar agora nao seja uma graaande descoberta para minimizar Ddos em wins stations mas com certeza ajuda a renovar o trafego/link de tempos em tempos..


HKLM\System\CurrentControlSet\Services\Tcpip\Param eters\

Dword:ConnectDampInterval
Dword:AutonetRetries
Dword:DontPingGateway
Dword:UseInform
Dword:UseMHAsyncDns

existem varias e muitas mais que essas porém nao estou com paciencia para uni-las todas e postar aqui no dia de HJ mas outro dia certamente postarei todas e com valores Optimal estabelecidos baseados em calculos que tenho feito nos ultimos tempos ....
ao contrario daqueles antigos valores nao muito a ver na maior parte que postei aqui mesmo ...

sobre o primeiro item DampInterval vou deixar um link com uma explanação que de certa forma explica o item mas nao é direcionado a ele e vc nem achara na net ..nem via Oraculo google nem via outra fonte de busca ^^
vale a pena ler :

Highly dynamic destination-sequenced destination vector routing for mobile computers - Patent 5412654

explica retransmitions on destination unreachable dentre muitas outrs coisas com riqueza de detalhes...achei varios outros com explicações referente a networking com detalhes bem minuciosos mesmo mas vou dedicar uma hora so para reunir os materiais e portar aqui...é tudo em ingles mas nada que um google translator nao resolva neh?
Abraços