[GTER] Ataques DDoS - O que fazer

[Douglas Fischer]

Não queria gerar flames...

Mas as fontes dessa informação são tão confiáveis quanto as de que existe
código que permite abertura de MIC/CAM sem o consentimento prévio do
usuário. Ou seja, especulações.




Em 19 de maio de 2014 19:35, Vicente De Luca <vicente.luca at gmail.com>escreveu:

> O maior problema do ASA é o jetplow ;)
>
>
> On 19 May 2014, at 19:22, Douglas Fischer <fischerdouglas at gmail.com>
> wrote:
>
> > Eu estou enfrentando um problema de DDoS baseado em DNS que foi a coisa
> > mais FORTE que já vi.
> > No total deu 30Mbps de link entupido de queries DNS.
> >
> > Não sei se fizeram contas, mas isso dá PPS bá-gá-rai...
> >
> > Chegamos a trocar os Autoritativos de IP, mas como era de se esperar não
> > adiantou nada.
> > Os pacotes continuavam a chegar, e em pouco tempo o ataque mudou de
> destino.
> >
> > Houveram uma série de falhas que acredito terem tornado o cliente em
> > questão num alvo, mas o mais grave deles é recursivo aberto...
> >
> > As origens são diversas(Distributed ou Spooofed), e o que mais me
> assustou
> > foi que são diversas simultaneamente.
> >   É comum que o atacante vá mudando a origem(spoof) a cada 10-20 pacotes.
> >   Mas nesse caso eu percebi que provavelmente existem 4 origens variando
> > os IP spoofados a cada 10 pacotes.
> >      Isso implica que o atacante tem no mínimo 4 pontos que aceitam
> > spoofing.
> >         (P.S.: Até quando? Existe previsão para
> >          uma normativa anti-spoofing  no  mesmo
> >          estilo  do  bloqueio  da  porta  25?)
> > Então além de entupir a entrada, o ataque atolava a saída e arriava o
> > servidor.
> >
> > Mais de 95% das queries eram p/ fkfkfkfc.biz(tem um /24 inteiro dentro
> da
> > resposta).
> >
> > O que fizemos até agora para contornar o problema foi a troca de IPs dos
> > DNSs, fechar o recursivo, e colocar um filtro baseado em RegEx no
> firewall(
> > se "fkfkfkfc\.biz" + DNS query ) limitando esse tráfego em 8kbps.
> >
> >
> > Os links são corporativos com Bloco de IPs das operadoras.
> > Então ações baseadas em BGP são impossíveis.
> >
> > Entramos em contato com as operadoras hoje solicitando bloqueio via lista
> > de acesso ou rota /32 p/ null, mas até agora não tivemos resposta.
> >
> >
> >
> > P.S.: Congratulações p/ um ASA 5515-X que tocou isso tudo, com direito a
> > análise de expressão regular, sem nem fazer cócegas.
> >
> >
> >
> > Em 19 de maio de 2014 14:22, Braian Jacomelli
> > <pbraian at tcheturbo.com.br>escreveu:
> >
> >> Boa tarde,
> >>
> >> --
> > Douglas Fernando Fischer
> > Engº de Controle e Automação
> > --
> > gter list    https://eng.registro.br/mailman/listinfo/gter
>
> --
> gter list    https://eng.registro.br/mailman/listinfo/gter
>



-- 
Douglas Fernando Fischer
Engº de Controle e Automação