Есть ли жизнь под DDoS-ом?

Докучаев Дмитрий aka Forb

Хакер, номер #081, стр. 081-066-5

[похожие файрволы]

Если ты счастливый обладатель Linux, то переделать скрипты не составит особого труда. Следует лишь вместо ipfw использовать фаервол iptables. Однако нужно помнить, что слово setup, которое отвечает за тип ESTABLISHED-соединения, должно быть заменено на конструкцию "-m state --state ESTABLISHED".

Следует также внедрить механизм сохранения правил после перезагрузки. Здесь существует два варианта - либо пользоваться сервисными командами (наподобие, /sbin/service iptables save), либо заносить правило в список вручную. При последнем приеме не забывай, что список правил iptables обычно хранится в /etc/sysconfig/iptables.

[компетентное мнение]

Большинство DDoS-атак базируется на особенностях работы протокола TCP/IP, в частности, на способе обработки входящих пакетов с флагом SYN. Эти атаки достаточно сложно предотвратить, особенно, если система подразумевает общедоступные входящие соединения. Тем более, что для проведения таких атак не требуется высокая квалификация атакующего и средства для их проведения легкодоступны. Также осложняет борьбу с такими атаками тот факт, что они, как правило, проводятся со множества адресов, зачастую находящихся в разных сегментах Сети и принадлежащих разным операторам связи. Поэтому какого-то стопроцентного способа борьбы с нападениями попросту не существует.

На данный момент самое действенное средство борьбы с этим типом атак - это контроль со стороны оператора связи, который должен обеспечивать их быстрое обнаружение и блокирование этого трафика на входе в свой сегмент сети. Операторы связи пытаются предотвращать подобные атаки путем установки фильтров, которые отсекают такой трафик в автоматическом режиме. Особенно эта практика распространена у зарубежных операторов связи. Причем зачастую от действия таких фильтров страдают обычные пользователи, так как достаточно сложно отличить трафик DDoS-атаки от некоего приложения, устанавливающего одновременно несколько соединений с каким-либо узлом.

Краснов Алексей. Системный администратор компании Медиател (www.mediatel.ru).

INFO

Чтобы включить файрвол, необходимо выполнить команду sysctl -w net.inet.ip.fw.enable=1. Но не забывай, что во FreeBSD политикой по умолчанию является Deny, поэтому перед активацией фаервола нужно добавить правило ipfw add 65000 allow ip from any to any.

CD

На нашем диске ты найдешь все исходники скриптов, которые были описаны в этой статье, а также упомянутый модуль для Апача.