ДДОС Аренды 138 / 9761

Готов озвучить правдоподобную версию произошедшего, но исключительно в закрытой ветке. Есть здесь такая?

Было бы интересно ознакомиться.

Pavel Dolinin писал(а):
Готов озвучить правдоподобную версию произошедшего, но исключительно в закрытой ветке. Есть здесь такая?

Киньте мне в личку, а я выложу как версию от себя и удалю эти наши посты.

Червяков Игорь писал(а):
Pavel Dolinin писал(а):
Готов озвучить правдоподобную версию произошедшего, но исключительно в закрытой ветке. Есть здесь такая?

Киньте мне в личку, а я выложу как версию от себя и удалю эти наши посты.

Игорь, можно потом здесь ссылку выложить?

никто не пробовал капчу ставить - как метод борьбы с ддосом?

Maagojin
Все уже забыли.

В воскресенье вечером, а потом и ночью, нас попытались "достать" с другой стороны. Готовимся к круговой обороне, еще раз проверяем все слабые места и просчитываем пессимистичные сценарии развития событий. А ведь потом, глядишь, и спасибо скажем за эти "учения, приближенные к боевым". #-o

Атака прекратилась примерно к концу субботы. В воскресенье уже были локальные всплески, не боле. Сейчас вообще разблокировали все 17 с лишним тысяч! IP-адресов (оставив на всякий случай списочек

). Работаем в штатном режиме.

По поводу того, кому это выгодно, у нас самая ходовая версия, что это пиар Оверсана. Именно они на РИФе делали упор на защиту от ddos, заявляли в октябре 2009 "Мы единственная компания в России, которая может обеспечить защиту от DDOS атак вообще любой мощности". К тому же, они сейчас активно перетаскивают в себе всех клиентов печально известного Макхоста (аффилированная с ним контора, сервера которой Оверсан отключил, якобы, за неуплату, обвалив примерно 10% рунета). Выгодна эта атака может быть только им. Тем более, что атаковались сайты, которые попадают на первую страницу яндекса по высокочастотным запросам (этим и объясняется, что атака шла не только на крупняки, но и на мелкие сайты, из директа, например).

В пятницу мне в аську постучался дядя из конторы, которая защищает от ДДоса, предложил перейти к ним. Второе сообщение я получил тоже через аську, но такое ощущение, что его рассылает вирус - транслитерацией, от знакомого абонента, которые явно не должен быть связан с защитой от ддос. Поэтому, я все-таки больше придерживаюсь первой версии. Для компаний, защищающих от ддос, такая атака слишком дорогая. А у Оверсана, который связан с Роскосмосом, денег явно много. Да и выгода прямая. Совпадение с РИФом, уверен, не случайно.

Magz писал(а):
Совпадение с РИФом, уверен, не случайно.

Однозначно! Пятница - третий день конференции - демонстрация атаки в прямом эфире. Сайты выступали как подопытные кролики.

Maagojin писал(а):
никто не пробовал капчу ставить - как метод борьбы с ддосом?

Это имеет смысл только тогда, когда сервера справляются с выдачей статики. У нас сервер банально не справлялся - отдавать даже простую html-страницу одновременно 5000 человек в секунду. Самое обидное, что мы как раз работали над ДНС-кластером, чтобы распараллеливать нагрузку. Увы, не успели, а во время атаки настроить было нереально.

Защита от ДДОс должна происходить на двух уровнях. Первый - аппаратный. Оборудование у хостера, которое принимает траффик (хаб) должно поддерживать применение правил фаервола. Самое правильное оборудование - которое умеет выполнять скрипты. Например, при открытии более 15 соединений с одного IP одновременно добавлять в сразу адрес в black list (есть временный и постоянный, добавлять нужно во временный), не пропуская трафик на сервер. Такое кэширование можно (и нужно) поднимать и на самом сервере, но на "железке" это эффективнее.
Второй уровень - application. Нужно разносить "статику" и "динамику", которые отдает сервер. Тот сервер, на который указывают NS-записи домена должен отдавать кешированный html с минимум картинок (чтобы снизить нагрузку, раз, и чтобы с большей достоверностью отделять "хороших" пользователей от "плохих" по количеству одновременных соединений). Я называю его "заглушкой". Реальный пользователь должен иметь возможность щелкнуть на ссылку на заглушке и попасть на внутреннюю страницу сайта, которая уже строится динамически (php, asp, perl, работа с базой данных - это все "динамика"). Вся "динамика" должна быть перенесена физически на другой сервер (хотя, все зависит от мощности атаки; хороший сервер может справиться со средней, отдавая и "заглушку" ботам, и динамику пользователям).

И, конечно, количество серверов играет наиважнейшую роль. Чем сильнее атака, тем больше серверов нужно. Завалить можно любой проект, здесь, грубо говоря, кто кого переборет - либо сайт количеством серверов, либо злодей количеством ботов

Лариса Богачева писал(а):
В воскресенье вечером, а потом и ночью, нас попытались "достать" с другой стороны.

Пытались взломать скрипты? Или порты сканировали?