lyamin hl2014

DDoS-атаки в

России: 2014Александр Лямин

<[email protected]>

UDP-пакеты салом не пахнут

Главный слайд №12014 2013

Нейтрализовано атак: 5 909↓ 6 732↑

Среднее атак в день: 21↑ 18↑

Макс. в день: 93↓ 151↑

Средний ботнет: 2 066↑ 1 540↓

Макс. ботнет: 420 489↑ 281 060↑

Сред. время, часы: 8↓ 9↓

Макс. время, дни: 91↑ 23↓

Spoofed атак: 56,69%↓ 58,45%↑

Атак более 1Gbps: 6,04%↑ 2,58%↓

Атак более 10Gbps: 2,62%↑ 0,70%↓

Атак более 100Gbps: 1,29%↑ 0,10%↑

Главный слайд №12014 2013

Нейтрализовано атак: 5 909↓ 6 732↑

Среднее атак в день: 21↑ 18↑

Макс. в день: 93↓ 151↑

Средний ботнет: 2 066↑ 1 540↓

Макс. ботнет: 420 489↑ 281 060↑

Сред. время, часы: 8↓ 9↓

Макс. время, дни: 91↑ 23↓

Spoofed атак: 3350↓ 3935↑

Атак более 1Gbps: 357↑ 174↓

Атак более 10Gbps: 155↑ 47↓

Атак более 100Gbps: 76↑ 7↑

Распределение по дням

0

20

40

60

80

100

120

140

160

01/01/12 01/02/12 01/03/12 01/04/12 01/05/12 01/06/12 01/07/12 01/08/12 01/09/12 01/10/12 01/11/12 01/12/12

2014

2013

Почти год назад

Коэфф. Амплификации: DNS

0

20000

40000

60000

80000

100000

120000

140000

160000

13 14 15 16 18 19 20 21 23 24 25 26 28 29 30 31 33 34 35 36 38 39 40 41 43 44 45 46 47 49 50 51 52 54 55 56 57 59 60

Коэфф. Амплификации: NTP

0

2000

4000

6000

8000

10000

12000

14000

35 90 145 200 255 310 365 420 475 530 585 640 695 750 805 860 915 970 1025 1080 1135 1190 1245 1300 1355

Коэфф. Амплификации: Chargen

0

50

100

150

200

250

300

350

400

12 23 34 45 56 67 78 89 100 111 122 133 144 155 166 177 188 200 211 222 233 244 255

Коэфф. Амплификации: SNMP

0

50000

100000

150000

200000

250000

300000

30 32 34 37 39 41 43 46 48 50 53 55 57 59 62 64 66 69 71 73 75 78 80

Коэфф. Амплификации: SSDP

0

50000

100000

150000

200000

250000

300000

350000

400000

60

63

66

69

72

75

78

81

84

87

90

93

96

99

102

105

108

111

114

117

120

123

126

128

131

134

137

140

143

146

149

152

155

158

161

164

167

170

173

176

179

Пять проблем, одна семья

User Datagram Protocol

• DNS ( x35 )

• NTP ( x1300 )

• SSDP ( x150 )

• SNMP ( x50 )

• Chargen ( x200 )

Динамика DNS

0

50000000

100000000

150000000

200000000

250000000

Динамика NTP

0

5000000

10000000

15000000

20000000

25000000

30000000

35000000

Динамика амплификаторов

0

200000000

400000000

600000000

800000000

1E+09

1.2E+09

1.4E+09

1.6E+09

1.8E+09

Chargen

NTP

DNS

SNMP

SSDP

Total

SSDP Победила топология

Топологии - они везде

Топологии – могут вас убить

Топологии – это важно

Очень-очень важно!

Важно: конфиденциальность

[13:21:17] melanor9 hll: парни! гасите

все IP сразу, а не по одному

[13:21:29] Person1: там их гора

[27/03/14] melanor9 hll: очевидно же что

вас уже "Пописали”

Еще важно: оперативность

[14:18:07] Person2: в общем новости из

каравана: отключены все ip всех

фронтов кроме хабра

[14:18:26] Person2: хабр вроде ожил

[14:18:38] Person2: сейчас поднимаем

фронты на новых ip

Еще важно: DNS

Сколько времени займет изменение root

servers ?

Еще важно

ЗДРАВЫЙ СМЫСЛ

Еще важно

Память

и

Внимательность

Еще важно

</whine>

Ok, что дальше?

Назад в будущееР а з м е р

б о т н е т а

Исчерпание канальной емкости 1 0 0 k +

Инфраструктура сети 10k+

Сетевой стек системы 1k+

Приложение 100+

Здесь живут AmplificationsР а з м е р






Здесь живут ботнетыР а з м е р






+ трафик-генераторыР а з м е р






Трафик-генераторы

• Netmap (Luigi Rizzo)

• DPDK (Intel)

• PF_RING DNA (ntop)



• DPDK (Intel)


+ Shellshock



• DPDK (Intel)


+ Shellshock

+ Habrahabr

А здесь живут ДраконыР а з м е р






Пример

inetnum: 188.44.56.0 - 188.44.63.255

netname: dorm

descr: Lomonosov Moscow State University

descr: Hostel network, GZ-B,V

country: RU

admin-c: MSU-RIPE

tech-c: MSU-RIPE

status: ASSIGNED PA

mnt-by: MSU-MNT

Пример: НОРМАtraceroute to 188.44.63.0 (188.44.63.0), 30 hops max, 60 byte packets

1 192.168.200.100 (192.168.200.100) 0.134 ms 0.189 ms 0.183 ms

2 msk06.transtelecom.net (217.150.47.234) 0.919 ms 1.239 ms 1.304 ms

3 router.transtelecom.net (193.232.245.177) 0.209 ms * *

4 m9-ix.msk.runnet.ru (193.232.244.44) 1.567 ms 1.151 ms 1.555 ms

5 msu.msk.runnet.ru (194.190.254.118) 1.199 ms 1.672 ms 1.191 ms

6 93.180.0.172 (93.180.0.172) 1.870 ms 2.322 ms 1.961 ms

7 188.44.33.41 (188.44.33.41) 2.527 ms 2.529 ms 2.518 ms

8 188.44.33.22 (188.44.33.22) 2.331 ms 2.317 ms 1.837 ms

9 93.180.4.12 (93.180.4.12) 2.817 ms 2.344 ms 2.346 ms

[dd]

Пакет достиг университетской сети.

Пример: АНОМАЛИЯtraceroute to 188.44.63.0 (188.44.63.0), 30 hops max, 60 byte packets

1 192.168.200.100 (192.168.200.100) 0.104 ms 0.095 ms 0.096 ms

2 msk06.transtelecom.net (217.150.47.234) 0.932 ms 1.326 ms 1.399 ms

3 212.73.250.154 (212.73.250.154) 22.529 ms 22.658 ms 22.726 ms

4 212.73.250.153 (212.73.250.153) 24.388 ms 22.191 ms 22.192 ms

5 * * *

6 * * *

7 ae-45-45.ebr3.Frankfurt1.Level3.net (4.69.143.166) 48.677 ms ae-46-

46.ebr3.Frankfurt1.Level3.net (4.69.143.170) 46.511 ms ae-48-

48.ebr3.Frankfurt1.Level3.net (4.69.143.178) 48.677 ms

[dd]

… дальше было много транс-атлантики.

Всем удачного Halloween

lyamin hl2014

Technology