DoS Attacken

    diese Woche hatte ich auf verschiedenen Servern Probleme mit Zugriffen auf Webseiten, mal ging es, mal nicht. Selbstreparierende Systeme sind aber sehr selten, also hab ich tagelang ( und Nächte auch) gesucht und mit verschiedenen ITlern draufgesehn, Telekom angerufen und Technikersession gemacht. Wir haben alle möglichen Einstellungen getestet, Lancom Router getauscht und Konfigurationen probiert. Dann ging es ne Stunde, dann wieder nicht. Seltsam war dass sich fast keine Kunden gemeldet und beschwert haben. Mails gingen ja durch aber halt langsam.

    Des Rätsels Lösung ist, dass es DoS Angriffe sind und das Verwerfen der Pakete vom Router/Firewall erfolgt.


    Wie erkennt man das? Wenn in drei verschiedenen Routern mit zig Webs dahinter in den DoS Logs die selben IPs verworfen werden ist es kein reglulärer Traffic mehr.

    Fall Jemand derzeit das Phänomen hat, sucht mal in den DoS logs, es wurde diese Woche bei Cloudflare eine grosse DoS Attacke registriert.

    Obacht! DDoS Attacken werden häufig als Vorbereitung für "richtige" Angriffe genutzt, also z.B. um Ransomware auf die Systeme zu bringen. Sofern Du/Ihr kein eigenes effektives Cybersicherheitsteam habt, wäre es jetzt an der Zeit sich an Profis zu wenden, um Eure Systeme entsprechend härten zu lassen und zu prüfen, ob bereits Angreifer im System sind. Anfragen in fachfremden Foren halt ich da für nicht ausreichend.

    Eein DoS-Angriff über einen gewissen Zeitraum (5 bis 30 Minuten - teilweise mehrmals mit paar Stunden Abstand) dient dem Angreifer zu schauen, welche Ports und Services denn offen sind und um zu sehen, wie eine eventuell vorhandene Firewall darauf reagiert, um einen Angriff gezielt auf unter zuhilfenahme eines Ports, bzw. laufenden Services starten zu können.

    Früher heiß das mal "IP-Range durchpingen" - danach "Ports scannen" und "db-en (detect bandwith)", um dann 'ne Liste an Servern zu haben, die sich lohnen könnte zu hacken.

    Heutzutage geht's da drum, um an Daten zu kommen...

    Wenn man 'ne Hardware-Firewall oder einen akzeptablen Router hat, welche DDoS-Angriffe erkennt und die betreffende IP sperren kann, sollte man dies in heutiger Zeit auch tunlichst aktivieren.

    ...Sicherheitsupdates / -patches auf Serversystemen sollten auch automatisch durchgeführt werden...


    'ne gute Hardware-Firewall wäre zum Beispiel 'ne Sophos oder PaloAlto - da biste dann in 'ner Preis-Klasse je nach benötigter Leistung von 1.000€ bis 40.000.-€ - für 'n gutes Mittelständisches Unternehmen lohnt da z.B. die SOPHOS XGS 138 - die kann 3 GBit/s firewallen und ist von der Preis-leistung top.


    sec

    "geht nicht" ? - gibt's nicht !

    ...ja, das war schon immer mein Avatar :evil:

    "Mit der Dummheit kämpfen Götter selbst vergebens" (Friedrich Schiller, "Jungfrau von Orleans" )

    wobei ein richtiger (D)DOS durch den Provider erkannt und gesperrt werden muss. Wenn der Traffic erst mal bei Dir an Deiner Firewall angekommen ist, lohnt es sich nicht mehr, da noch groß IPs für den weiteren Weg in's Netz rein / zu den Services zu sperren - Leitung dicht ist ja schon gegeben und damit der DOS erfolgreich.


    (dass eine Firewall für andere Dinge wie Intrusion-, Malware- und sonstige Detection-Dinge sinnvoll ist hat damit ja erst mal nichts zu tun)

    Zitat von marce

    wobei ein richtiger (D)DOS durch den Provider erkannt und gesperrt werden muss. Wenn der Traffic erst mal bei Dir an Deiner Firewall angekommen ist, lohnt es sich nicht mehr, da noch groß IPs für den weiteren Weg in's Netz rein / zu den Services zu sperren -

    ...dann mit dem Provider reden


    und 2.:

    Traffic entsteht dann, wenn der DDoS fruchtet - wenn die IP gesperrt is, dann is der Traffic (bis auf die Anfragen des Attacs weg... - der Attac läuft ins Leere, dann kommt auf der Traffic nicht mehr hinterher.

    "geht nicht" ? - gibt's nicht !

    ...ja, das war schon immer mein Avatar :evil:

    "Mit der Dummheit kämpfen Götter selbst vergebens" (Friedrich Schiller, "Jungfrau von Orleans" )

    Zitat von secluded

    und 2.:

    Traffic entsteht dann, wenn der DDoS fruchtet - wenn die IP gesperrt is, dann is der Traffic (bis auf die Anfragen des Attacs weg... - der Attac läuft ins Leere, dann kommt auf der Traffic nicht mehr hinterher.

    sagen wir mal so: wenn es ein ernsthafter DOS ist - ist die "übliche" Anbindung schon alleine durch die Verbindungsanfragen dicht.


    Wenn's ein DOS ist, der dadurch kommt, dass die Anfragen das Serversystem auslasten / überlasten, die Leitung aber dadurch nicht dicht ist (komplexe Anfragen, Sch* Software, ...) - ok, dann kann man durch IP-Blocking noch was retten...

    Es war keine Frage von mir sondern ein Hinweis.

    Seit heute 8:25 Uhr ist alles vorbei.

    Die IP Adressen waren aus Ranges von Brasilien, ich hab die Betreiber mit Hinweis auf Weitergabe an "law enforcement agencies" angemailt und auch Strafanzeige (mit Logauszug) gegen unbekannt bei der örtliche Polizei gestellt. Da kommt aber nichts raus.

    Die Lancoms (ca 700,- Euro) sind da schon gut. Der Telekom Techniker kennt die halt auch sehr gut und ging per Fernwartung und ssh drauf. Diese Router Sperren bei DoS nur die jeweilige anfragende IP. Der Rest geht durch d.h. es ist kein kompletter Ausfall sondern nur Verzögerungen bei Webseiten. Die Mails gingen auch langsamer durch, das war aber kein Problem.

    Warums aufgehört hat ist unbekannt, scheinbar hat "jemand" reagiert. Zum Thema "ernster DoS", wenn die Schwelle von 100 gleichzeitigen Verbindungen ( defaultschwelle bei Lancoms) von einer IP aus auf Port 443 erreicht ist, dann ist es halt kein regulärer Traffic mehr. Und das war bei mehreren Routern gleichzeitig im Log sichtbar.


    Die Server dahinter waren ohne Last, in meinem Datacenter war alles schnell erreichbar. Auch der Zugriff nach aussen war schnell. Das Lancom DoS blocking war effektiv.

    Zitat von tonsound

    Zum Thema "ernster DoS", wenn die Schwelle von 100 gleichzeitigen Verbindungen ( defaultschwelle bei Lancoms) von einer IP aus auf Port 443 erreicht ist, dann ist es halt kein regulärer Traffic mehr.

    Stimmt - je nach dem, was man da für Services betreibt ist das nomales Hintergrundrauschen.


    Vermutlich ist nur ein ganz normaler (Script-)Bot bei Dir vorbei gekommen, als der mal wieder das Internet abgegrast hat - sei es content-scraping, AI-Learning, Angriffs"versuch", Fehlkonfiguration, ...

    Bei den Lancoms gibts in der Firewalleinstellung einen Schalter um die DoS Pakete zu verwerfen (default) und die IP zu sperren (nicht default). Hier auf paar Minuten oder Stunden gestellt und Schluss ist, ebenso bei IDS.


    Glaskugel: vl. waren die Slowdowns diese Forums auch DoS Attacken. Wenn man nichts findet und es von selbst wieder schneller wird ist dies zu vermuten.


    Never do: Apache direkt im Internet weil sonst der Server u.U. komplett steht (bei Lancoms wirds nur langsam) und keiner administriert in der Regel mehr Apache und Postfächer per Hand.


    In der Regel hat man Firewall mit Portforward (80,443) an Apache und Multihome Admin Software für mehrere Webs auf einem Apache, ssl administriert die Multihome SW. Und etwas wie Snort (ids) und Nagios (Monitoring) sendet in Echtzeit Fehler an ein Handy.


    ggf mal das Forum testen https://ddos-test.com/