Цитирай Първоначално написано от EdHunter
И от всичко пак не разбрах как да спра атаките..
Добре, ще се наложи да го разясня с думи прости.



Нека имаме някакъв сървър X. Към него летят връзки някакви, да кажем A, B и C. Да кажем че X има свързаност от 40Mbit/s up и 40Mbit/s down. Докато потребителите A, B и C сборно не надвишават свързаността на сървъра, то проблеми няма да имаме. Ако обаче го преминат, започва деградация на обслужването на връзките им, т.е. няма да получават достатъчният капацитет от връзката за нормална работа.

Потребителите A, B и C не са константа. Тяхната бройка се променя и е абсолютно възможно голяма маса хора изведнъж да решат да се възползват от сръвър Х, което да изразходи всичките му ресурси и да доведе до невъзможност за нормална работа на всички потребители на сървъра. Това е т.нар. неумишлен DoS(Denial of Service/Отказ за Обслужване). Slashdot е хубав пример.

Според теб обаче, някой стои зад цялата фантасмагория. Което ще рече, че имаме и потребител D, който е злонамерен. Неговата цел е да постигне DoS: да изразходи целият ресурс на сървъра, за да няма свободен за нормалните потребители A, B и C.

За целта, в нашият пример, потребителят D трябва да "запълни" 40Mbit/s връзка, което ще доведе до изхвърлянето или забавено обслужване на потребители A, B и C от системата. Начините за това са много.

Вероятно най-често споменаваният е Ping Flood. При този метод, се изпращат много съобщения(ping) по ICPM протокола, като по този начин се заеме цялата връзка. Сам по себе си един ping е незначително малък(около 80 байта стандартно), но при 80 000 ping-a в секунда крайната картинка е 48.82Mbit/s, което е достатъчно да заеме цялата връзка от примера ни.

Разбира се, има тънкости. Ако потребител D метне 80 000 ping-a в секунда към сървър X, то сървър X ще се опита да му метне 80 000 ping-a обратно. Твърде вероятно е потребител D да сгъне тетрадката. Нещо като да замахне с бухалка срещу някой, но да се нацели сам в тиквата. Но потребител D е сравнително интелигентен и използва спууфинг(spoofing) или форджинг(forging) за да се скрие.

Това ще рече, че той осъществява ping(например) но самият пакет данни се сглабя по начин, по който да изглежда че идва от друго място. Например от потребител A. Грубо, нали? В крайна сметка потребител D изсипва 80 000 ping-a на сървър Х, а сървър Х изсипва 80 000 ping-a на потребител A. В крайна сметка, потребител A все някога се съвзема и решава да изсипе на сървър Х 80 000 съобщения(или колкото може в секунда), че той никога не му е пращал ping и има грешка.

Всъщност такава е и идейната концепция на DoS. Да накараш сървъра и потребителя да се блъскат сами, а ти да стоиш отстрани и да гледаш сеир. Едва ли някога ще можеш да правиш по 80 000 ping-a в секунда с домашният си интернет, затова се използват съвсем отделни техники, използващи слабости в различни точки на мрежата - от умножаване на атакта чрез броудкаст(broadcast) до разни по-смешни неща като STP(Spanning Tree Protocol). Но така или иначе основната идея е една: да се бутне една плочка домино, която да събори останалите, да образува лавина и да доведе крайната цел до състояние на нефункционалност.

Ако все още си мислиш, че някой те "хаква", продължи да четеш

Модерните(да бе, тия от 1998-ма насам) рутери предлагат опцита за Firewall. Това е така да се каже "стандартният" начин за справяне със DoS или DDoS. Добре де, ама как точно действа?(абе, не прочете ли предният ми пост?)

Появява се потребителят D от примера ни, и решава да изплющи 80 000 ping-a. Обаче, рутерчето ни следва зададени правила. Да кажем сме поставили лимит: "maximum pings allowed for IP: 10 per minute". Рутера пропуска 10 от ping-овете, а останалите 79 990 ги разкарва(packet drop). Толкова. След една минута - пак ще може да се ping-ва от това IP.

Всъщност примерите са доста прости. Реално потребител D никога няма да ограничи всичко до спууфнати пингове, а вероятно ще прибегне до някои, да кажем, не чак толкова леймърски методи.

Хардуерният файъруол е набор от зададени правила. Ако нещо преминаващо през него ги нарушава, то няма да бъде пропуснато. Въпросът е да конфигурираш нещата по начин, по който не позволяват на потребител D да прави пакости, но да могат потребител A, B и C да работят нормално.

Не знам дали преценяш нещата правилно(то ако не ги преценяш, щото ще си признаеш ), но това, което следва да направиш е внимателно да анализираш какво точно се случва с ИНТЕРНЕТА ти, за да знаеш какво трябва да предприемеш. Или казано простичко - седни си прочети логовете и използвай Ло-Ги-Ка(ще ми се изприщи устата тези дни да я казвам иначе хубавата думичка).

ПП. А сега вече разбра ли нещо?