очередная тема про DDOS

[Fudji]

http://blog.cloudflare.com/technical-det...dos-attack
http://blog.cloudflare.com/understanding...os-attacks

Примечательно, что теоретически, так как NTP позволяет усилить трафик в 206 раз, для организации атаки в 200 Гбит/сек достаточно лишь получение контроля над одним сервером, подключенным через гигабитный порт и размещённым в сети, допускающией спуфинг IP-адреса получателя. Прогнозируется, что следующим шагом атакующих может стать вовлечение SNMP-серверов в качестве усилителей трафика. Теоретически, проблемный SNMP-сервер может обеспечить усиление трафика в 650 раз. В настоящее время уже фиксируются отдельные эксперименты атакующих с использованием SNMP.

[ReaM]

Ntp в теории увеличивается в 500+ раз, на практике стабильное плечо х50.
SNMP в теории увеличивается в 50 раз +\-, на практике плечо атаки стабильно будет х10\х20.

Как сказал один знакомый, "клоудфлэр это типа ддос-гуард, только по-американски".=) Поэтому их писанину следует делить пополам )

[Fudji]

Ntp в теории увеличивается в 500+ раз, на практике стабильное плечо х50.
SNMP в теории увеличивается в 50 раз +\-, на практике плечо атаки стабильно будет х10\х20.

Как сказал один знакомый, "клоудфлэр это типа ддос-гуард, только по-американски".=) Поэтому их писанину следует делить пополам )

От какого критерия зависит увеличение?

[ReaM]

От какого критерия зависит увеличение?

усиление атаки это когда ты отправил udp запрос с подменой ип-адреса размером допустим 50 байт, а тебе(а точнее тому ип адресу который ты подменил) сервер допустим 5кб.

следовательно усиление зависит от софта установленного на сервере, который будет отвечать тебе. Например при NTP при запросе monlist, ntp сервер ответит 100 пакетов длинной по ~400 байт, при том что легитимный запрос monlist занимает 200байт, хотя его можно "сжать" до ~60 байт + плюс размер минимальный фрейма и выйдет 84 байта. ну и умножай\дели, получишь плечо атаки.

Для DNS усиления это 4кб. Для SNMP тут все очень странно, но в среднем будет как и у DNS, откуда клоудфлэр тут нашли 650 раз, я не знаю. Может они думали что можно считать snmp getbulk всю информацию из .0.1.3.6.1 ? нет, я проверял, очень редкие машины отдают 8кб, а обычно 2-4кб ответ.

Но опять таки все эти числа - в теории только, на практике смело дели свои расчеты на 3 и получишь реальное плечо атаки.

[Fudji]

Вообщем вооружаемся packetbuilder, и идем тестить сервера
Ещё кстати назрел вопрос, если снифить трафик от сервера к клиенту который защищается проксирование, можно достать реальный IP сервера?

[BaT]

А што такои NTP