Защита от DOS атак

[Romanuy]

Приветствую всех добрых людей, на днях меня атаковали и очень жестоко и при это даже заранее предупредили о ddos атаке, что в общем то они и осуществили. Вот хочу у вас спросить как мне можно хоть как нибудь обезопасить свой сервер от атаки.

[lehisnoe]

Привет!
Ты смог определить тип атаки?

[Romanuy]

Ой я совсем забыл пояснить что я этом всем делом совсем не умею управлять, мне человек поднял сервер для ресурса работает стабильно без каких либо косяков, а съезжать на другую ОС не хотелось бы даже не смотря на то что я с FreeBSD пока не как, воооот хотел бы чтоб мне в этой теме по пошаговым способом помогли в настройке безопасности от ddos`a Я конечно торопить или как то нагло вытягивать не чего не буду, но если у вас найдется творческое время, то не пройдите мимо уделите его мне

[lehisnoe]

Хм... Тогда мне не совсем понятно, основываясь на чем был сделан вывод о том, что сервер под ddos'ом. Ну не на основе же присланного письма...
Объясню, почему я пытаюсь добиться типа ddos'а: исходя из его типа следует предпринимать те или иные действия.

[Romanuy]

Хм... Тогда мне не совсем понятно, основываясь на чем был сделан вывод о том, что сервер под ddos'ом. Ну не на основе же присланного письма...
Объясню, почему я пытаюсь добиться типа ddos'а: исходя из его типа следует предпринимать те или иные действия.

Я только знаю то что меня перед DOS атакой предупредили, при этом на мониторе сервера показывался ping сети обычно
стабильно у меня показывало таким образом.


4.800 иногда до 500.80 ms но когда человек крикнул вот держи DOS у меня эти показатели стали очень большими точно не помню но примерно цифра была такая 293485692.456 ms и интернет тупил по страшному в оконцовке вообще умерла сеть, и самое что главное пинг был с огромной цифрой 293485692.456 ms а интернета не было, после чего мне пришлось полностью перезагружать сервер но это меня не спасло он все ровно атаковывал, пришлось ждать момента когда он угомониться. Дождался и сейчас все норм но зато упал по рейтингу и пришлось отчитываться о случившимся. Вод в общем мая маленькая история, хотелось бы как нибудь это на будущее предотвратить.

В интернете немного по гуглил и нашел нечто такое.

Код: Выделить всё

Date: 3 Sep 2002
From: Ярослав Клюкин <bulldozer@skintwin.no-ip.com>
Newsgroups:  http://www.void.ru/content/976
Subject: Способы защиты от флуда и DDoS атак в FreeBSD

Способы защиты от флуда и DDoS атак.

Черные дыры.

   net.inet.tcp.blackhole=2
   net.inet.udp.blackhole=1
   Это превращает машину в черную дыру при попытке подключиться к портам,
   которые не слушают. Nmap по настоящему не любит это.

Защита очереди сокета от SYN атак.

   Основной из самых популярных атак остается SYN флуд, при которой
   очередь сокета атакуемого хоста переполняется некорректными попытками
   соединений. Для защиты от таких атак некоторые из UNIX поддерживают
   отдельные очереди для входящих запросов на соединение. Одна очередь
   для полуоткрытых сокетов (SYN получен, SYN|ACK послан), другая очередь
   для полностью открытых сокетов, ждущих вызова accept() от программы.
   Эти две очереди должны быть увеличены, чтобы атаки малой и средней
   интенсивности почти не влияли на стабильность и доступность сервера.
   kern.ipc.somaxconn=1024

Редиректы (Перенаправления)

   Атакующий может использовать IP redirect для изменения таблицы
   марщрутизации на удаленном хосте. В хорошо разработанной сети
   редиректы на конечные станции не должны требоваться. Оба - отправка и
   принятие редиректов должны быть отключены.
   net.inet.icmp.drop_redirect=1
   net.inet.icmp.log_redirect=1
   net.inet.ip.redirect=0
   net.inet6.ip6.redirect=0

Настройка стека IP в системах UNIX на оптимальную производительность:

   На размер буфера приема и передачи TCP напрямую влияет параметр
   размера TCP окна. Увеличенный размер окна позволит более эффективно
   передавать данные, особенно при интенсивной передаче, такой как FTP и
   HTTP. Значение по умолчанию не является оптимальным и должно быть
   увеличено до 32768 байт. Это значение не должно быть более 64Кб, если
   вы не знаете об ограничениях RFC1323 и RFC2018, и если нет поддержки с
   обеих сторон.
   FreeBSD:
   sysctl -w net.inet.tcp.sendspace=32768
   sysctl -w net.inet.tcp.recvspace=32768

Очистка ARP:

   Существует возможность, что атакующий создаст нехватку ресурсов или
   уменьшение производительности заполнив кэш маршрутизации IP с помощью
   неправильных записей в ARP таблице. Этот параметр рекомендуется
   выставить в 20 минут по умолчанию.
   FreeBSD:
   sysctl -w net.link.ether.inet.max_age=1200

Маршрутизация отправителя:

   С помощью маршрутизации отправителя атакующий может попытаться
   достигнуть внутренние IP адреса, включая адреса RFC1918. Важно
   отключить принятие пакетов маршрутизации отправителя для
   предотвращения незаметных проб вашей внутренней сети.
   FreeBSD:
   sysctl -w net.inet.ip.sourceroute=0
   sysctl -w net.inet.ip.accept_sourceroute=0

Установка TIME_WAIT

   На загруженном web сервере многие сокеты могут задерживаться в
   состоянии TIME_WAIT. Это вызвано неправильно написанными клиентскими
   программами, которые неправильно закрывают сокеты. Это так же может
   быть использовано для DDoS атак.
   Нет рекомендаций по настройке.

Ответ на широковещательный ECHO.

   Эти атаки работают с помощью отправки сообщения ICMP 8 0 (запрос ECHO)
   на широковещательный адрес с фальшивого адреса. Некоторые стеки IP
   ответят по умолчанию на такие сообщения. Это должно быть отключено.
   Более того, если хост является фаерволом или раутером, то он не должен
   пропускать проямые широковещательные запрсы.
   FreeBSD:
   sysctl -w net.inet.icmp.bmcastecho=0

Другие пробы с помощью широковещания:

   Существуют 2 вида проб. Запрос маски адреса может быть использован для
   определения размера блока сети и установки диапазона для дальнейших
   проб. Широковещательный запрос временного штампа (timestamp) - еще
   одно средство выявления хостов и определения их операционных систем
   (fingerprinting)
   FreeBSD:
   sysctl -w net.inet.icmp.maskrepl=0

Свободный перевод: Ярослав Клюкин (bulldozer@skintwin.no-ip.com)



   Добавление:
   Так как от флуда сложно уберечься по-настоящему, можно только
   ограничить его влияние, то можно дать следующие рекомендации:
   При настройке фаервола отключите все, что не нужно конкретно для
   работы. Скажем если у вас WEB сервер, отключите доступ ко всему кроме
   портов доступа по HTTP, будь то ICMP, UDP или еще что-нибудь. Если вы
   используете Apache, то настройте KeepAliveTimeout для уменьшения
   времени ожидания в режиме KeepAlive, подберите наиболее оптимальные
   значения для следующих директив:
   MaxKeepAliveRequests
   MaxClients
   MaxRequestsPerChild
   MaxSpareServers
   MinSpareServers
   Желаю удачи в настройке вашей сети на оптимальную производительность!

   Источник: http://www.cymru.com/~robt/Docs/Articles/ip-stack-tuning.html


Только я не знаю что да как и куда что нужно вписывать и как правильней бы это все вписать.

[root]

прежде чем принимать какие либо действия надо смотреть как атакуют
посмотри что летит в момент атаки на ифейс сервера, в этом тебе поможет утилита tcpdump
т.к. ддос ддосу рознь
если тебе просто тупо забивают пропускную способность канала, то тебе или надо её увеличить или обращаться за помощью к своему прову

куда что нужно вписывать

в /etc/sysctl.conf
пример файла:

Код: Выделить всё

cat /etc/sysctl.conf

# $FreeBSD: src/etc/sysctl.conf,v 1.8 2003/03/13 18:43:50 mux Exp $
#
# This file is read when going to multi-user and its contents piped thru
# ``sysctl'' to adjust kernel values. ``man 5 sysctl.conf'' for details.
#

# Uncomment this to prevent users from seeing information about processes that
# are being run under another UID.
#security.bsd.see_other_uids=0

#hw.snd.pcm0.vchans=4
hw.snd.maxautovchans=16

net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
net.inet.icmp.icmplim=30

и выполнить команды руками:

Код: Выделить всё

sysctl net.inet.tcp.blackhole=2

что бы применить изменения без ребута

[Romanuy]

Вот мой конфиг

Код: Выделить всё

# $FreeBSD: src/etc/sysctl.conf,v 1.8.34.1.2.1 2009/10/25 01:10:29 kensmith Exp $
#
#  This file is read when going to multi-user and its contents piped thru
#  ``sysctl'' to adjust kernel values.  ``man 5 sysctl.conf'' for details.
#

# Uncomment this to prevent users from seeing information about processes that
# are being run under another UID.
#security.bsd.see_other_uids=0

net.inet.ip.fw.verbose=1
net.inet.ip.fw.verbose_limit=1000

# Max. backlog size
kern.ipc.somaxconn=4096

# Shared memory // 7.2+ can use shared memory > 2Gb
#kern.ipc.shmmax=2147483648

# Sockets
kern.ipc.maxsockets=204800
# Do not use lager sockbufs on 8.0
# ( http://old.nabble.com/Significant-performance-regression-for-increased-maxsockbuf-on-8.0-RELEASE-tt26745981.html#a26745981 )
kern.ipc.maxsockbuf=262144

# Recive clusters (on amd64 7.2+ 65k is default)
# For such high value vm.kmem_size must be increased to 3G
#kern.ipc.nmbclusters=229376

# Jumbo pagesize(4k/8k) clusters
# Used as general packet storage for jumbo frames
# can be monitored via `netstat -m`
#kern.ipc.nmbjumbop=192000

# Jumbo 9k/16k clusters
# If you are using them
#kern.ipc.nmbjumbo9=24000
#kern.ipc.nmbjumbo16=10240

# Every socket is a file, so increase them
kern.maxfiles=204800
kern.maxfilesperproc=200000
kern.maxvnodes=200000

# Turn off receive autotuning
#net.inet.tcp.recvbuf_auto=0

# Small receive space, only usable on http-server, on file server this
# should be increased to 65535 or even more
#net.inet.tcp.recvspace=8192

# Small send space is useful for http servers that serve small files
# Autotuned since 7.x
net.inet.tcp.sendspace=16384

# This should be enabled if you going to use big spaces (>64k)
#net.inet.tcp.rfc1323=1
# Turn this off on highspeed, lossless connections (LAN 1Gbit+)
#net.inet.tcp.delayed_ack=0

# This feature is useful if you are serving data over modems, Gigabit Ethernet,
# or even high speed WAN links (or any other link with a high bandwidth delay product),
# especially if you are also using window scaling or have configured a large send window.
# You can try setting it to 0 on fileserver with 1GBit+ interfaces
# Automatically disables on small RTT ( http://www.freebsd.org/cgi/cvsweb.cgi/src/sys/netinet/tcp_subr.c?#rev1.237 )
#net.inet.tcp.inflight.enable=0

# Disable randomizing of ports to avoid false RST
# Before usage check SA here www.bsdcan.org/2006/papers/ImprovingTCPIP.pdf
# (it's also says that port randomization auto-disables at some conn.rates, but I didn't tested it thou)
#net.inet.ip.portrange.randomized=0

# Increase portrange
# For outgoing connections only. Good for seed-boxes and ftp servers.
net.inet.ip.portrange.first=1024
net.inet.ip.portrange.last=65535

# Security
net.inet.ip.redirect=0
net.inet.ip.sourceroute=0
net.inet.ip.accept_sourceroute=0
net.inet.icmp.maskrepl=0
net.inet.icmp.log_redirect=0
net.inet.icmp.drop_redirect=1
net.inet.tcp.drop_synfin=1

# Security
net.inet.udp.blackhole=1
net.inet.tcp.blackhole=2

# Increases default TTL, sometimes useful
# Default is 64
net.inet.ip.ttl=128

# Lessen max segment life to conserve resources
# ACK waiting time in miliseconds (default: 30000 from RFC)
net.inet.tcp.msl=5000

# Max bumber of timewait sockets
net.inet.tcp.maxtcptw=40960
# Don't use tw on local connections
# As of 15 Apr 2009. Igor Sysoev says that nolocaltimewait has some buggy realization.
# So disable it or now till get fixed
#net.inet.tcp.nolocaltimewait=1

# FIN_WAIT_2 state fast recycle
net.inet.tcp.fast_finwait2_recycle=1

# Time before tcp keepalive probe is sent
# default is 2 hours (7200000)
#net.inet.tcp.keepidle=60000

# Should be increased until net.inet.ip.intr_queue_drops is zero
net.inet.ip.intr_queue_maxlen=4096

# Interrupt handling via multiple CPU, but with context switch.
# You can play with it. Default is 1;
#net.isr.direct=0

# This is for routers only
#net.inet.ip.forwarding=1
#net.inet.ip.fastforwarding=1

# This speed ups dummynet when channel isn't saturated
net.inet.ip.dummynet.io_fast=1
# Increase dummynet(4) hash
#net.inet.ip.dummynet.hash_size=2048
#net.inet.ip.dummynet.max_chain_len

# Should be increased when you have A LOT of files on server
# (Increase until vfs.ufs.dirhash_mem becames lower)
vfs.ufs.dirhash_maxmem=67108864

# Explicit Congestion Notification (see http://en.wikipedia.org/wiki/Explicit_Congestion_Notification)
net.inet.tcp.ecn.enable=1

# Flowtable - flow caching mechanism
# Useful for routers
#net.inet.flowtable.enable=1
#net.inet.flowtable.nmbflows=65535

# Extreme polling tuning
#kern.polling.burst_max=1000
#kern.polling.each_burst=1000
#kern.polling.reg_frac=100
#kern.polling.user_frac=1
#kern.polling.idle_poll=0

# IPFW dynamic rules and timeouts tuning
# Increase dyn_buckets till net.inet.ip.fw.curr_dyn_buckets is lower
net.inet.ip.fw.dyn_buckets=65536
net.inet.ip.fw.dyn_max=65536
net.inet.ip.fw.dyn_ack_lifetime=120
net.inet.ip.fw.dyn_syn_lifetime=10
net.inet.ip.fw.dyn_fin_lifetime=2
net.inet.ip.fw.dyn_short_lifetime=10
# Make packets pass firewall only once when using dummynet
# i.e. packets going thru pipe are passing out from firewall with accept
#net.inet.ip.fw.one_pass=1

# shm_use_phys Wires all shared pages, making them unswappable
# Use this to lessen Virtual Memory Manager's work when using Shared Mem.
# Useful for databases
#kern.ipc.shm_use_phys=1


И еще как эти команды правильно прописать ?

[root]

И еще как эти команды правильно прописать ?

не совсем понимаю вопроса, что значит как, руками конечно

[Romanuy]

изменения в /etc/sysctl.conf внес кроме этой строки kern.ipc.somaxconn=4096 ну и еще добавил net.inet6.ip6.redirect=0 net.inet.icmp.bmcastecho=0 так как в моем конфиге этого не было сохранил файл и сделал все команды которые были прописаны в мануале... Вопрос все правильно ли я сделал?

вот так теперь выглядит мой конфиг

Код: Выделить всё

# $FreeBSD: src/etc/sysctl.conf,v 1.8.34.1.2.1 2009/10/25 01:10:29 kensmith Exp $
#
#  This file is read when going to multi-user and its contents piped thru
#  ``sysctl'' to adjust kernel values.  ``man 5 sysctl.conf'' for details.
#

# Uncomment this to prevent users from seeing information about processes that
# are being run under another UID.
#security.bsd.see_other_uids=0

net.inet.ip.fw.verbose=1
net.inet.ip.fw.verbose_limit=1000

# Max. backlog size
kern.ipc.somaxconn=4096

# Shared memory // 7.2+ can use shared memory > 2Gb
#kern.ipc.shmmax=2147483648

# Sockets
kern.ipc.maxsockets=204800
# Do not use lager sockbufs on 8.0
# ( http://old.nabble.com/Significant-performance-regression-for-increased-maxsockbuf-on-8.0-RELEASE-tt26745981.html#a26745981 )
kern.ipc.maxsockbuf=262144

# Recive clusters (on amd64 7.2+ 65k is default)
# For such high value vm.kmem_size must be increased to 3G
#kern.ipc.nmbclusters=229376

# Jumbo pagesize(4k/8k) clusters
# Used as general packet storage for jumbo frames
# can be monitored via `netstat -m`
#kern.ipc.nmbjumbop=192000

# Jumbo 9k/16k clusters
# If you are using them
#kern.ipc.nmbjumbo9=24000
#kern.ipc.nmbjumbo16=10240

# Every socket is a file, so increase them
kern.maxfiles=204800
kern.maxfilesperproc=200000
kern.maxvnodes=200000

# Turn off receive autotuning
#net.inet.tcp.recvbuf_auto=0

# Small receive space, only usable on http-server, on file server this
# should be increased to 65535 or even more
net.inet.tcp.recvspace=32768

# Small send space is useful for http servers that serve small files
# Autotuned since 7.x
net.inet.tcp.sendspace=32768

# This should be enabled if you going to use big spaces (>64k)
#net.inet.tcp.rfc1323=1
# Turn this off on highspeed, lossless connections (LAN 1Gbit+)
#net.inet.tcp.delayed_ack=0

# This feature is useful if you are serving data over modems, Gigabit Ethernet,
# or even high speed WAN links (or any other link with a high bandwidth delay product),
# especially if you are also using window scaling or have configured a large send window.
# You can try setting it to 0 on fileserver with 1GBit+ interfaces
# Automatically disables on small RTT ( http://www.freebsd.org/cgi/cvsweb.cgi/src/sys/netinet/tcp_subr.c?#rev1.237 )
#net.inet.tcp.inflight.enable=0

# Disable randomizing of ports to avoid false RST
# Before usage check SA here www.bsdcan.org/2006/papers/ImprovingTCPIP.pdf
# (it's also says that port randomization auto-disables at some conn.rates, but I didn't tested it thou)
#net.inet.ip.portrange.randomized=0

# Increase portrange
# For outgoing connections only. Good for seed-boxes and ftp servers.
net.inet.ip.portrange.first=1024
net.inet.ip.portrange.last=65535

# Security
net.inet.ip.redirect=0
net.inet6.ip6.redirect=0
net.inet.ip.sourceroute=0
net.inet.ip.accept_sourceroute=0
net.inet.icmp.maskrepl=0
net.inet.icmp.log_redirect=1
net.inet.icmp.drop_redirect=1
net.inet.icmp.bmcastecho=0
net.inet.tcp.drop_synfin=1

# Security
net.inet.udp.blackhole=1
net.inet.tcp.blackhole=2

# Increases default TTL, sometimes useful
# Default is 64
net.inet.ip.ttl=128

# Lessen max segment life to conserve resources
# ACK waiting time in miliseconds (default: 30000 from RFC)
net.inet.tcp.msl=5000

# Max bumber of timewait sockets
net.inet.tcp.maxtcptw=40960
# Don't use tw on local connections
# As of 15 Apr 2009. Igor Sysoev says that nolocaltimewait has some buggy realization.
# So disable it or now till get fixed
#net.inet.tcp.nolocaltimewait=1

# FIN_WAIT_2 state fast recycle
net.inet.tcp.fast_finwait2_recycle=1

# Time before tcp keepalive probe is sent
# default is 2 hours (7200000)
#net.inet.tcp.keepidle=60000

# Should be increased until net.inet.ip.intr_queue_drops is zero
net.inet.ip.intr_queue_maxlen=4096

# Interrupt handling via multiple CPU, but with context switch.
# You can play with it. Default is 1;
#net.isr.direct=0

# This is for routers only
#net.inet.ip.forwarding=1
#net.inet.ip.fastforwarding=1

# This speed ups dummynet when channel isn't saturated
net.inet.ip.dummynet.io_fast=1
# Increase dummynet(4) hash
#net.inet.ip.dummynet.hash_size=2048
#net.inet.ip.dummynet.max_chain_len

# Should be increased when you have A LOT of files on server
# (Increase until vfs.ufs.dirhash_mem becames lower)
vfs.ufs.dirhash_maxmem=67108864

# Explicit Congestion Notification (see http://en.wikipedia.org/wiki/Explicit_Congestion_Notification)
net.inet.tcp.ecn.enable=1

# Flowtable - flow caching mechanism
# Useful for routers
#net.inet.flowtable.enable=1
#net.inet.flowtable.nmbflows=65535

# Extreme polling tuning
#kern.polling.burst_max=1000
#kern.polling.each_burst=1000
#kern.polling.reg_frac=100
#kern.polling.user_frac=1
#kern.polling.idle_poll=0

# IPFW dynamic rules and timeouts tuning
# Increase dyn_buckets till net.inet.ip.fw.curr_dyn_buckets is lower
net.inet.ip.fw.dyn_buckets=65536
net.inet.ip.fw.dyn_max=65536
net.inet.ip.fw.dyn_ack_lifetime=120
net.inet.ip.fw.dyn_syn_lifetime=10
net.inet.ip.fw.dyn_fin_lifetime=2
net.inet.ip.fw.dyn_short_lifetime=10
# Make packets pass firewall only once when using dummynet
# i.e. packets going thru pipe are passing out from firewall with accept
#net.inet.ip.fw.one_pass=1

# shm_use_phys Wires all shared pages, making them unswappable
# Use this to lessen Virtual Memory Manager's work when using Shared Mem.
# Useful for databases
#kern.ipc.shm_use_phys=1


[lehisnoe]

Вопрос все правильно ли я сделал?

Да, твой sysctl.conf выглядит вполне корректно, вот только это вряд ли тебе сильно поможет при следующем DOS, т.к. защита от DOS - это комплексные действия: не только оптимизация сетевого стека под твои задачи, но и соответствующее изменение движка сайта, а также возможное взаимодействие с хостером/провайдером.