[Techinfo] DDOS támadás

[József Venczel]

Szia!

Gondolom feltűnt a "DPT=5678" a Mikrotik miatt :D
Igen, jól gondolod, kicsit elkeveredtem már a sok szám között. A 10.1.3.1
wi-fi router egy kis Mikrotik router és a kérdéses csomagok a "neighbor
discovery feature" funkciójának köszönhetően jöttek. Már kikapcsoltam,
úgyhogy csendben van.

Köszönöm a tippet az iptables-hez! Megszívlelem és beállítom. Bár ez most
tényleg nem DOS támadás, nem árt felkészülni ilyesmire is. Valószínűleg a
múltkori ssh támadás óta kicsit paranoiás lettem :)
Mondjuk saját balgaságomtól semmi sem véd meg...

Abban viszont Veres Sándornak igaza van, hogy ezek az eldobott csomagok a
kliensek forgalmával vannak kapcsolatban, mert éjjel néztem és nem volt a
tűzfalon semmiféle forgalom. Egy árva bit sem ment át sehová. Azt meg nem
hiszem, hogy éjjel a robotok elmentek volna alukálni.

Most elkezdtem nézegetni mik lehetnek ezek az ip címek. Rögtön az elején
csak egyet ellenőriztem, s az egy kínai szerencsejáték weblapra vitt.
Most nézem pl.:

https://tools.tracemyip.org/lookup/52.30.205.69
https://ipinfo.io/52.30.205.69
https://www.threatminer.org/host.php?q=52.30.205.69
https://www.findip-address.com/52.30.205.69
https://db-ip.com/52.30.205.69


Megnéztem még 5-6 ip címet, ezek jellemzően Amazon-hoz és Google-hoz
tartozó címek, vagy más, nagy internetes szolgáltatásokat, pl. felhőtárhely
nyújtó cégekhez tartoznak. Mi lehet ez?

Volna még egy kérdésem. Eddig azt hittem, hogy a tcpdump és a tshark is
elkapja az összes csomagot, ami az adott gép interface-ére jön. De most úgy
tűnik, csak azokat kapja el, amik átjutnak az iptables szabályokon. Ha nem
jól gondolom, akkor ezeket az eldobott csomagokat miért nem látom az
említett segédprogramok kimenetében?


Üdv,
Venczel József

Fehér Sándor <fehersandor at madach-starjan.sulinet.hu> ezt írta (időpont:
2018. okt. 18., Cs, 0:04):

> Üdv!
> Milyen routered, tűzfalad van?
>
> 2018. 10. 17. 13:09 keltezéssel, József Venczel írta:
>
> Sziasztok!
> Ugyan kivel is történhetne, ha nem velem :(
> Tárgybéliben szeretném a segítségeteket, tanácsotokat kérni.
>
> Van egy tűzfalam. Úgy állítottam be, hogy alapból mindent tiltok, csak azt
> engedem, amit én akarok, ez meg csak a webes forgalom, de az is csak a
> kliensek felől irányuló kérések alapján.
> Tehát, ha már kiépült kapcsolathoz tartozik, akkor jöhet, egyébként meg
> naplózom és DROP.
> Valahol, régebben olvastam, hogy ezt így érdemes csinálni és lehet, hogy
> tényleg...
>
> Épp a szervereim központi naplózását próbálom megoldani, amikor arra
> lettem figyelmes, hogy a tűzfal syslog-jában van egy csomó, különböző ip
> címekről jövő csomag. Mind 40 bájtos és mindegyik forrásportja a 80-as és a
> 443-as port, a DPT (1-65565) változó. Mindegyik célcíme a tűzfalam publikus
> lába.
>
> És itt jön az első kérdés: anno nem kértem semmilyen portnyitást a
> tűzfalra. Akkor ezek a csomagok hogyan érnek el hozzám? Nem kéne már a NIIF
> vagy KIFÜ vagy nemtomki tűzfalán fennakadniuk?
>
> Egyelőre semmit nem okoznak, bármivel mérem, figyelem az átviteli
> sebességet, nem változott semmi. Egyedül a naplófájl hízik tőle, de az meg
> külön partíción van, aminek most megnöveltem a méretét biztos, ami biztos.
>
> Gondolom nem nagyon tudok ennél többet tenni, úgy értem, nem tudom őket
> leállítani? Vagy igen?
> Találkozott már közületek valaki hasonlóval?
>
> Előre is köszönöm a válaszokat!
>
> Üdv,
> Venczel József
>
>
> _______________________________________________
> Techinfo mailing listTechinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20181018/edf5f5a0/attachment.html>