[GTER] globo.com

[Luiz Eduardo]

> > bom, por isso falei da classificação... SE houvesse a possibilidade de
> > classificação dos ataques, através de contadores e etc, daria para
manter
> > uma tabela e tomar decisões sobre isso. Mas ninguém faz :-/

só para esclarecer: quando falei ninguém faz, quis dizer fabricantes e não
sites.


> Contadores não classificam, contam... é até possível sim utilizar
contadores
> e aplicar limitadores a tipos de tráfego, desde que você possa fazer match
> (stateless mesmo) em atributos pouco usuais de filtragem. O interessante
de
> contadores é que eles são o tipo mais escalável de memória de estado,

e nesse caso, eu ACHO que ajudaria. Classificando e contando com base na
classificação, poderia-se separar o tráfego válido do inválido.

> justamente por serem escalares (agregados de tráfego baseado naqueles
> perfis) e não tabulares (lista de conexões abertas). Basta que seja
possível
> especificar o match baseado em bitmasks, e que os limitadores possam ser
> configurados em pps (infelizmente há um suporte muito mais abragente para
> limitadores de bps, que tem como foco controle de banda ao invés de
controle
> de ataques).

quem sabe essa seria a nova geração de access lists? vamos fazer uma rfc? :)

> Blackholing é justamente do que você está reclamando... ele é ótimo para a
> reação inicial, mas não substitui filtros construídos com amor e carinho
que
> tenham como objetivo recuperar o serviço. Manter blackholing é fazer o
> serviço do atacante por ele.

pera aí, blackholing analisando o problema é uma coisa. blackholing just for
the heck of it, é outra.
qual vc acha que a globo.com está fazendo?

> Antes mesmo dessa aquisição eles já tinham um Adaptive Services PIC, que
faz
> 12000 novas sessões por segundo segundo documentação, já dá para aumentar
> bem a sobrevivência de um site com isso.

não é a solução final, e, pelo visto, estamos bem longe disso. Mas, por um
acaso, estão usando isso?

> O que me espanta nessa história na Globo.com é que eles não tenham tentado

> utilizado recursos default do fabricante 2 como policers; isso é um
indício
> de que pode haver algo mais envolvido nessa decisão do que simplesmente a
> questão de segurança.

amém! é o que exatamente eu falei acima (sendo que vc já tinha escrito). Sem
dúvida tem algo mais (o que foi a conclusão do seu email), então posso
chegar à conclusão que vc concorda com o que estão fazendo?

> > bom, eu, falando como usuário, não acho legal tentar entrar em uma
página
> > que não funciona sem (pelo menos) nenhum tipo de aviso na página
> principal,
>
> Para colocar um aviso, algum tipo de acesso ao site precisaria ser
> possível... eles precisariam ativar algum tipo de global-load-balancing ou
> uma rede de distribuição de conteúdo mesmo para colocar uma página de "I'm
> so sorry".

Isso está além do que eu estava pedindo. Apenas pedia um tópico no FAQ
falando, usuários internacionais, I am sorry. Já que, não só acesso o site
principal como consigo logar no próprio.


> Por cliente entenda-se um número significativo de usuários pagantes...

e qtos usuários pagantes existem no Brasil?

> > Vários portais devem ter muitos problemas, i.e. o pessoal do yahoo
falando
> > na nanog sobre o "ataque" que sofriam com pings válidos. Todo mundo
queria
> > testar conectividade/ dns advinha o que eles (e até eu mesmo) pingava?
> > www.yahoo.com
> > imagine outros...
>
> www.uol.com.br sofria do mesmo problema...

e como resolveram o problema? de repente o uol poderia dar uma consultoria
para o globo.com

> > Talvez seja hora da globo.com gastar um pouquinho de $ já que começaram
a
> > comercializar seus serviços.
>
> O kit.net tradicionalmente era um serviço para não assinantes, apesar de
> agora estar mais restrito, e o blogger.com.br também é um serviço
gratuito.
> Não acredito que seja mera coincidência que ataques a esses serviços não
> tenham motivado o deployment de uma estrutura mais robusta, quando filtrar
> os ataques na borda internacional já aliviam bem a questão.

na verdade não. até onde eu gastei os meus neurônios para entender o esquema
deles, TODOS os serviços globo.com estão amarrados ao login do mesmo.
não sei (e não me interessa) o kit.net, tirando um site daqui e dali que
recebo por email para acessar de vez em nunca. Mas o blogger.com.br está até
restringindo a quantidade de bytes alocados (o que eu acho justo).

> Outro detalhe do kit.net é que em função da hospedagem de conteúdo
> pornográfico, ele devia ser responsável por muito do gasta de banda da
> Globo.com... filtrar acessos internacionais também ajuda a diminuir a
conta.

então... para que manter o serviço? ou, pagar uns estagiários para "vigiar"
o conteúdo. Como em qquer serviço de web, o usuário concorda com um
disclaimer. Mudem o disclaimer e sejam rígidos com as regras.

> Aliás, a pergunta que estourou a bolha ainda é um grande veículo de tomada
> de decisões: - Quem paga a conta ?

bom, no meu ponto de vista é diferente. Você está falando "pela globo.com",
eu, como usuário, quero acessar as páginas. Não acessando, estou sendo
restringido à informações públicas. (diferente do uol que é dono do conteúdo
e quem quer, paga para ver).

bottom line, para mim, é: se fosse para pagar para ver o conteúdo, de
repente eu até pagaria. Mas a solução adotada não cobre isso.
Se é para usar um proxy aberto, eu acho que não é justo. Funciona? é claro
que funciona, mas afeta outros lados da internet (como disse o Gustavo,
porque não abrir um smtp relay da globo.com então?).

pode ter certeza que eu entendo um pouco do que estou falando. Por isso usei
os exemplos do yahoo.com e do google.com. Se a globo.com quer ser um portal
"world class", bloquear não é a solução. Que mudem o site para globo.com.br
e o resto do mundo que fique sem ver.

[]s com enorme respeito à vossa pessoa
luiz eduardo