nejsem žádný expert, ale může mi prosím zkusit někdo vysvětlit, jak se jim podařilo naměřit "cca 100 mil packetů za vteřinu" na jejich routery.. když se nedokázali z vlastní LAn dostat ani na VLASTNI LOKALNI web.. ? - - to jak že se pak dostali nejenom na své edge routery - ale navíc ještě vcelku "komfortně" dokáží naměřit podobné množství requestů.. ?
je to postavené celé na hlavu.. nevěřím jim tuto kobminaci (nemožnost dostat se z vnitřní sítě na vlastní web page na svých vlastních on-premises strojích + tvrzení, že dokázali naměřit v tomto výpadku desítky milionů hitů na edge routery"..
Dobrý den,
to má zcela jednoduché. vysvětlení Ta čísla ukazují routery na jednotlivých rozhraních. Mají tam přesné statistiky (dosažená maxima a průměry za poslední časové období ).
Dále sbíráme různé netflow a snmp data, která poskytují podobná vodítka.
Na správu a ovládání všeho jsme se dostali vždy, protože máme fyzicky oddělenou interní LAN.
Z této interní LAN jdeme na veřejné IP adresy serverů přes interní firewall a potom dále přes naše routery, protože bránu této interní LAN máme v jiném IP adresním rozsahu. Takže z našich PC jdeme na veřejné IP adresy webů a serverů přes přetíženou část sítě.
:O optice je přece jedno, co přenáší. Jestli Wedos má někde mašiny, které filtrují provoz, tak jakákoliv "bezpečnost" začíná až za tím daným bodem a co je od toho bodu dál do světa si může útočník dle libosti zahltit. Nějak tě nechápu.
U Cetinu bude jediná bezpečnost, aby se jim někdo nevlámal do ústředen, tedy fyzická a jinak budou zachovávat síťovou neutralitu a přenášet i ten "brajgl", který si pak bude Wedos přehazovat vidlemi a oddělovat samoučícími se, či ručními pravidly, od běžného provozu.
Nebo snad Cetin vstupuje do procesu a něco sám od sebe filtruje, pochybuji, jen přenese paket, který je v rozsahu Wedosu k Wedosu a co je to za paket, je mu jedno ne?
Další útok dnes v neděli 11.4.2021, můj server nebyl dostupný 2,5 minuty. :-( https://i.ibb.co/m5djRSh/day.png
Dobrý den,
ano to je pravda. Tam byl útok přímo na ten server, kde máte web. A útok byl přes 300 Gbps. Ucpe to vstup do naší sítě.. Abychom uchránili ostatní klienty a celou naši síť, tak jsme nuceni potom tu konkrétní IP adresu dát na blackholing. To se děje do sekundy.
To na grafu jsou minutové průměry.
Po několika minutách útok přestal a tak vypneme blackholing a IP adresa je dále v provozu. U takhle silných útoků bohužel neexistuje jiná možnost.
Pracujeme na dalších krocích a vylepšeních. Nasadili jsme silnější filtry, nasadili jsme preventivně anycast DNS a další věci. Berte v úvahu, že není moc útoků, kde by na jedinou IP adresu byl útoky silný ve stovkách Gbps. Ty útoky jdou i přes NIX a z ČR a tak je složité (a nedostatečné) blokovat jen třeba Asii.