SNORT

[orlik]

Господа, а кто-нить пробовал ставить snort на бордере , насколько сильно сказывается на производительности и насколько можно эффективно бороться с ddos-ом от своих же клиентов в сеть ?

[sirmax]

я не смотрел, но на вскидку, если там pcap то это смерть. ИМХО.

[kapa]

насколько можно эффективно бороться с ddos-ом от своих же клиентов в сеть ?

борется максимально эффективно - кладёт бордер и никакого ddos-а :)

[orlik]

Да я все понимаю, с одной стороны хочется сделать лучше ( хотябы мониторинг ) с другой понимаю что надо брать тогда что-то более спецефичное. А снорт это больше игрушка для тренировки :)

[kapa]

Что мешает отзеркалить трафик в сторону, а оттуда управлять фаерволами или ACL?

[vlad11]

Что мешает отзеркалить трафик в сторону, а оттуда управлять фаерволами или ACL?

 

+1

[photon]

Господа, а кто-нить пробовал ставить snort на бордере , насколько сильно сказывается на производительности и насколько можно эффективно бороться с ddos-ом от своих же клиентов в сеть ?

Зачем нужен Snort, который работает по сигнатурам, если DDoS как правило ведется тупым генерированием трафика? В этом случае поможет простой статистический анализ. Если какой-то хост внутри сети генерирует более 60% пакетов за 5 секунд, то его надо заблокировать, желательно на порту коммутатора, к которому он подключен.

[nobody4097]

более 60% пакетов от чего? от всех пакетов остальных юзеров?

это цифра просто от балды, а не руководство к действию?

[srg555]

можно эффективно бороться с ddos-ом от своих же клиентов в сеть

 

зачем вообще это делать? законы обязывают? если нет, то пусть ддосят что хотят

[orlik]

можно эффективно бороться с ddos-ом от своих же клиентов в сеть

 

зачем вообще это делать? законы обязывают? если нет, то пусть ддосят что хотят

законы не обязывают, но как то не хочется распространять всякую гадость , которая потом тебя же и будет ддосит , и станет реально твоей проблемой.

[srg555]

orlik

Да ладно, никто не переживает за мусор из своей сети(ну кроме тривиального спуфинга), а вы почему-то решили выделиться

 

Как мусор станет вашей проблемой? У вас NAT и по сотни абонентов на один реальный IP?

[orlik]

Когда за спам сеть заносят в блек листы( всю сеть ) это очень не нравится клиентам. Особенно тем кто работает и не создает проблем другим.

[kapa]

Ну тут уж точно можно SYN-пакеты исходящие по 25 порту считать или другие способы проще снорта использовать.

 

p.s. я думал, что такой проблемы уже не существует :)