Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- kb [2012/11/15 14:29]
flacco [DDOS / Amplifier Attacke auf bind]
+++ kb [2012/11/15 14:49]
flacco [Gegenmaßnahmen]
@@ Zeile 224: / Zeile 224: @@
 Die Diskrepanz zwischen eingehender und bis zum Faktor 60 höherer ausgehender Datenmenge gibt dieser Form des Angriffs ihren Namen DDOS/Amplifier (Verstärker).
+Da eine Anfrage im Rechenzentrum ergeben hat, dass von weiteren Attacken auf andere Server nichts bekannt ist und die Attacke auf meinen Server von immer anderen Hosts ausging, liegt der Schluss nahe, dass es sich um einen gesteuerte, zielgerichteten Angriff handelt (Distributed Denial Of Service Attack / DDOS).
+Leider sind weder die Gründe dafür noch die Angreifer ohne Weiteres ermittelbar.
 ==== Gegenmaßnahmen ====
+Für die Abwehr eines solchen Angriffes ergeben sich genau zwei Ansatzpunkte:
+  * Der Dienst selbst
+  * Die Firewall
+Über die Firewall lassen sich Limits für Anfragen pro Zeit auf bestimmte Ports einrichten. Eine solche Maßnahme ist zwar wirksam um die Gesamtbelastung des Servers zu senken, sie bestraft allerdings auch diejenigen, die einen Dienst regulär nutzen.
+Reduziert man also die Anfragen auf Port 53/UDP auf 200 pro Sekunde, lässt die Firewall eben nur noch eben diese 200 Anfragen auf den DNS-Server zu, ungeachtet dessen, ob eine Anfrage gut oder böse ist. Schöpft der Angreifer das Limit bereits aus, sind Störungen des regulären Betriebs die Folge. Prinzipiell, hat der Angreifer auch auf diese Weise sein Ziel schon erreicht. Der einzig messbare Erfolg dieser Strategie ist die Reduktion des Traffics.
+Besser ist also die Abwehr am Dienst selbst.
 ===== Postfix, Amavis & Dovecot =====