Sie sind nicht angemeldet.

Debian Dos Attacken!

Lieber Besucher, herzlich willkommen bei: Linux Forum Linux-Web.de. Falls dies Ihr erster Besuch auf dieser Seite ist, lesen Sie sich bitte die Hilfe durch. Dort wird Ihnen die Bedienung dieser Seite näher erläutert. Darüber hinaus sollten Sie sich registrieren, um alle Funktionen dieser Seite nutzen zu können. Benutzen Sie das Registrierungsformular, um sich zu registrieren oder informieren Sie sich ausführlich über den Registrierungsvorgang. Falls Sie sich bereits zu einem früheren Zeitpunkt registriert haben, können Sie sich hier anmelden.

1

17.02.2006, 15:30

Dos Attacken!

Hallo,

ich habe einen Linux Server der die letzten Monate gut lief. Leider war er gestern gegen 20 Uhr auf einmal nicht mehr erreichbar. Dann erhielt ich heute Morgen eine Mail mit folgendem Inhalt:

Folgende E-Mail erreichte mich gerade:

Sehr geehrter Herr ***,

Hiermit möchten wir Sie informieren, dass uns unsere Techniker vom *** Rechenzentrum
darüber in Kenntnis gesetzt haben, dass Ihr Server mit dem Hostnamen: *** mit der
Auftragsnummer: *** erheblichen DoS-Attacken (Denial of Service) ausgesetzt ist.

Unsere Einrichtungen werden dadurch maßgeblich in Mitleidenschaft gezogen, so dass
dadurch auch andere unserer Kunden mitbetroffen sind.

Dadurch beeinträchtigt dieser Vorgang die technische Infrastruktur der *** auf nicht
akzeptable Weise und verstößt damit gegen die Regelbetriebsbedingungen unserer
Allgemeinen Geschäftsbedingungen, die Sie jederzeit im Internet einsehen können: ***

Ihr Server wird einer Sperrung unterzogen, um weiteren Schaden für alle Beteiligten
zu vermeiden.

Trotz dieser Sperrung ist es Ihnen weiterhin möglich, über die RemoteConsole, die Sie im Kundenservicebereich aktivieren können, eine SSH-Verbindung zu Ihrem Server aufzunehmen.
Mit Hilfe dieser Verbindung können Sie entsprechende Maßnahmen einleiten, die den Regelbetrieb wiederherstellen.
Eine Anleitung zur Benutzung der RemoteConsole finden Sie hier:
***

Wenn Sie eine mögliche Erklärung haben, weshalb ihre Server derartig starken Attacken ausgesetzt sind oder falls sich die Urheber dieser Attacken sogar mit Ihnen in Verbindung gesetzt haben, teilen Sie es uns doch bitte umgehend mit, da wir hier erhöhten Handlungsbedarf sehen. Wir bitten Sie ebenfalls uns zu versichern, alles in Ihrer Macht stehende zu unternehmen, die genannten Problematiken künftig zu vermeiden.

Als Termin haben wir uns spätestens den 24.02.2006 vorgemerkt. Bitte beachten Sie, dass im Falle einer Wiederholung der Angriffe der Server wieder gesperrt werden kann. Wir müssen hier das Interesse aller Internetnutzer über das Interesse eines Einzelnen unserer Kunden stellen und bitten dafür um Verständnis.


Nun wisst ihr was los ist. Ich weiß nicht was ich noch machen soll. Kann man dagegen was machen? Wäre neuaufsetzen sinnvoll? Er lief einige Monate sehr gut. Hoffe ihr könnt mir helfen!

2

17.02.2006, 16:27

Untersuche erst mal die Logdateien auf Anomalien.
Erst danach kann man sagen, was da überhaupt los ist.

Tendenziell kann man auf seinem Server Dienste oder IP-Adressen blockieren, was aber den Eingehenden Traffic nicht reduziert (allerhöchstens werden Antworten unterbunden).
Daher wäre bei einzelnen angreifenden IP-Adressen das Rechenzentrum gefragt, diese an ihren Routern zu sperren.

Bei vielen Adressen (verteilter Angriff) geht auch das nicht mehr, und Du kannst höchstens für Deinen Server eine neue beantragen (sofern der Angreifer nicht einen Domainnamen benutzt) ...

Sollte auch das nicht funktionieren, heisst es "aussitzen", warten bis der Angreifer keine Lust mehr hat, die Zeit nutzen um sich zu überlegen wen man wie verärgert haben könnte und eine Strafanzeige "gegen Unbekannt" ausformulieren ...


Michel
Life is like ice cream: enjoy it before it melts!
"If there is (a God), all evidence indicates that He hates me." - Matt Groening

3

17.02.2006, 16:54

Sorry. Wo befindet sich die Log Datei und wie öffne ich diese. Soweit ich weiß sind Logs abgeschaltet!

4

17.02.2006, 17:19

hi FortunaFan,

fuer den apache gibt es das modul mod_evasive von Nuclear Elephant

... das verhindert zwar keine dos-attacke und haelt auch deinen provider nicht davor ab die connection zu sperren ... aber der webserver hat 'unter beschuss' deutlich bessere abwehrmoeglichkeiten

gruß epikur

PS: logs???? ... das sollte in deiner /etc/httpd/httpd.conf stehen ...
wie soll ich wissen, was ich denke?
... bevor ich hoere, was ich sage
... bevor ich lese, was ich schreibe

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »epikur« (17.02.2006, 17:24)


5

17.02.2006, 17:36

Es muss nicht unbedingt Apache betroffen sein ...
Man kann im Prinzip jedes Protokoll, egal ob i.d. Anwendungsschicht oder darunter, fluten (z.B. UDP- der ICMP-flood, SYN-Attack für jeden beliebigen TCP-Port) ...
Denial of Service muss nicht unbedingt das Lahmlegen eines Servers oder eines seiner Dienste bedeuten, man kann auch versuchen, die Netzwerkverbndung zum Server hin zu "verstopfen" ...
Und da der Provider die Anbindung zum Webserver gesperrt hat, wird dies wohl mindestens ein Nebeneffekt gewesen sein ...


Michael
Life is like ice cream: enjoy it before it melts!
"If there is (a God), all evidence indicates that He hates me." - Matt Groening

6

17.02.2006, 17:39

Mich würde ja mal interessieren, welche Dienste auf dem Server hauptsächlich in Benutzung waren!
Game-, Chat- und Forensoftware erzeugt wohl am häufigsten "angepisste" Benutzer ;)

Andererseits sind kommerzielle Webauftritte auch nicht vor böshaften Konkurrenten, enttäuschten Kunden oder Erpressungsversuchen gefeit ...
Life is like ice cream: enjoy it before it melts!
"If there is (a God), all evidence indicates that He hates me." - Matt Groening

renegade

macht was er will

  • »renegade« ist männlich

Beiträge: 2 842

Wohnort: Ostfriesland

Beruf: root

  • Nachricht senden

7

17.02.2006, 20:09

Ich finde die Reaktion des Providers irgendwie witzig.
Da wird ein Server mittels DoS begallert und der Serverbetreiber soll was dagegen tun. Jetz mal abgesehen davon, daß ich in diesem Fall auch mal von einem Mitverschulden des Serverbetreibers ausgehe ist dieser Standpunkt doch erstmal Blödsinn. Wenn man nen Server in die Knie zwingen will kann man das auch. Das kommt mir irgendwie so vor als wenn ich jemanden, der exekutiert werden soll, dazu zwingen will sich nicht erscheßen zu lassen.

Oder habe ich da nen Fehler in meinen Gedankenzügen?
Sokrates (468 v.Chr. - 399 v.Chr.)
"Es ist keine Schande, nichts zu wissen, wohl aber, nichts lernen zu wollen."

8

17.02.2006, 20:24

Naja, Vergleiche hinken immer ein wenig ;)
Aber besser wäre natürlich eine Meldung des Providers a la "Gestern gab es auf Ihren Server einen DoS-Angriff. Wir haben dieses und jenes dagegen unternommen .." bzw. ".. Sie können dieses und jenes unternehmen"; ganz speziell wenn es ein Mitserver-Provider ist, der günstig seine Pakete verschubst und daher viel mit unbedarften Kunden zu tun hat ... (kostet aber auch wieder Geld) ...


Michael
Life is like ice cream: enjoy it before it melts!
"If there is (a God), all evidence indicates that He hates me." - Matt Groening

9

17.02.2006, 20:45

Wäre jemand bereit mir das zu machen?

P.S.: Bin bei Strato

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »FortunaFan« (17.02.2006, 20:45)


strcat

Unix Gladiator

  • »strcat« ist männlich

Beiträge: 2 331

Wohnort: /Earth/Germany/Bavaria/Regensburg

  • Nachricht senden

10

17.02.2006, 21:21

Sicher. Was zahlst Du?
Christian 'strcat' Schneider <http://www.strcat.de/>
/* When all else fails, read the instructions. */

Thema bewerten