CIsco DDOS atack

[roofut]

Как защититься от ddos атаки на 7206? атаковали один серверов клиентов, на котором крутиться веб сайт, отрубили их сервер, нагрузка на интерфейсе циски все равно не упала, наверно айпишку на интерфейсе тоже досили. как можно в будущем мониторить источник атаки ?

[ktoto]

как можно в будущем мониторить источник атаки

tcpdump или netflow

 

нагрузка на интерфейсе циски все равно не упала

как вариант использовать bgp blackhole community. если аплинки конечно с этим дружат.

[darkagent]

как вариант - спрятать кошку за sce.

[roofut]

а если спрятать cisco за linux сервер c 10 гб интерфейсами? справиться он и что на него ставить ?

[darkagent]

Можно спрятать и в антивандальный шкаф, но шкаф спасет только от вандалов.

Найдете адекватное IDS/IPS ПО на линуксе, которое справится хотя бы с 3-4G потока на 10G интерфейсе, незабудьте отписать - из чистого любопытства посмотреть хочется на авторов-альтруистов.

[EDA_SPB]

А зачем отрубать сервер? Весь трафик вы все равно примете на бордер.

Досят обычно по доменному имени - исправте ip в днс на 127.0.0.1 (это вместо отключения :))

Если по ip идет ддос - тогда смена ip в днс + блокировка старого ip у вышестоящего провайдера любым способом.

Вариант, перестать анонсировать сеть...

Сам я теоретик, надеюсь им и останусь.

[Andrei]

Нас уже неделю почти ДДОСят по 53-му порту, причем канальчик в этом направлении всего 4 Мбита и стоит там стареньках cisco 3620, которая от 2,5К пакетов имеет загрузку CPU под 80%. Решилось только фильтрацией на стороне магистрала. :(