DDoS Angriffe

[Danny91]

Hallo ich bin Admin von einem kleinem Forum was rund 1000 Mitglieder hat und seid 2 Wochen unter dauer DDoS steht laut Hoster sind es Layer7 Attacken die sogar durch Cloud Dienste wie Cloudflare gehen jeder Hoster kickt uns sofort falls eine Attacke rein kommt
und ich hab nicht wirklich das Geld für eine 500$ DDoS Portection
Habt ihr mir paar Ratschläge was ich jetzt machen sollte

[DieterW]

Schau mal hier rein
https://devcentral.f5.com/blogs/us/laye ... Wlw1ko42EA

[mtx93]

Bei level 7 ist es wichtig, die Anzahl der Connection per IP zu begrenzen.
Per Firewall eben, für iptables gibt es da einiges.

Dazu ein guter Cache für guest access - nginx als Frontend wirkt auch Wunder.

Damit brauchst du schon ein ziemlich fettes botnet für eine DDos.

Nginx UNGEDINGT mit geoip installieren (unter debian dazu die packages von dotdeb installieren).

Wenn du ein deutsches Forum hast, dann kannst du schonmal den Stinkefinger rausholen und global Asien, Afrika und die anderen Brüder der Sonne, die auf deinen Forum nichts zu suchen haben, per geoip ins Nirvana schicken - auf der Webserver Ebene.

Auch nett ist der redirect Trick, wenn du mal nicht so nett sein willst.

Wenn der Angreifer Files oder große Bilder/Dateien zieht, dann diese umbennen und auf den alten Namen ein redirect zu ein paar richtig großen Files setzen, z.B. auf Google Mapdiensten oder sowas (hatte da mal ein nettes 500gb file...). Denen tut es nicht wirklich weh und die bots haben mal richtig gut was zu tun...

[mtx93]

Ach ja, einen weiteren "guten" Trick hab ich fast vergessen.

Viele DDos-Angriffe, aber auch bots, haben ja bestimmte "Muster", also bestimmte URLs.

Das dumme ist, das ein DDoser meist nicht nur eine, sondern eine Serie von URLs angreift, das ist das Problem, teilweise mit Zufallsmuster.

Aber es reicht schon genaue *eine* URL/Muster für diesen Trick.

Eine solche URL nimmt man, und benutzt sie als "honeypot". Man biegt sie nun um für normale user.

Im webserver fängt man diese URL nun ab und gibt einen bestimmten Fehler zurück. Z.B. 444 für den nginx oder man logt das in ein besonderes log.

Nun installiert man fail2ban und addiert eine eigene Rule für diesen speziellen Errorcode/log, mit einer längeren Banzeit. Dazu eine höhere Checkrate.

Voila, ein honeypot mit autoban zur firewall.

Ich sichere mit fail2ban übrigens auch alle login-URLs, auf die ich nomal eine htpasswd setze. Doppelter Passwordschutz und autoban.

Das tool ist wirklich praktisch.