Syn-Flood'lardan nasılmı korunurum? Birde Bunu deneyin...

Öncelikle forumunuzu uzun zamandır duyuyordum ama kayıt olmak anca nasıp oldu. Burda acılan konuların ve rahatsızlıkların genelde tek bır baslıkta bırlestıgını gordum Syn-flood’un ne oldugu yada nasıl yapıldıgını anlatmam yersız olucaktır, zira forumda bunla ılgılı hemen hemen bırbırıne yakın yeterınce başlık bulunmakta… Ben size syn-flood ların genelde 2 türlü yapıldıgından bahsedeyim bunlardan biri, kişisel bilgisayarlardan yada sunuculardan *p**t yada türevi programlar yardımı ıle, bir diğeri ise sunuculara, kısısel bilgisayarlara izinsiz yerleştirilen programlar sayesınde (ki biz bunu genelde botnet saldırıları olarak adlandırıyoruz) yapılmaktadır.

Botnet fazla yaygın olmamakla bırlıkte (en azından daha tefarruatlı ve bırıkım gerektıren bır yontem oldugundan) sayılı bır kesmın sahıp oldugu bır guctur. Genelde bu tarz saldırılar zombilerin sayıları ıle dogru orantılı olarak 100,1000 ve hatta 10 bınlerce farkli ip uzerınden gelen saldırılar oldugu için bu saldırıları tamamen korunabilmek ne yazıkki software lerle çok mumkun olmamaktadır. Bunlar için daha çok hardware firewallar tercıh edılmekte fakat bunlarında fıyatları neredeyse kıralanan sunucularla eşdeğer oldugundan kullanan birey yada kurumlar için extra bir malıyet oldugundan tercih edilmemektedir.

Yazıyı fazla uzatıp sizleri sıkmak yerine artık konuya geleyim yavas yavas Yukarıda bahsedılen ıkı yontemden bırını software yazılımlarla engelleyebılmek mumkun dıgerını ıse guclu bır makına ıle tam olarak durulamasa bile en azından alınan hasarı min. a indirebilmekde çok zor değil..

Sunucularıma artan syn-flood saldırıları ıcın birkaç ay önce kabuk programlama ile yazılmıs olan (d)dos-deflate scrıptınden yola cıkarak , işlevini normal istekler değilde syn-flood lar için düzenlediğim ve kurulum paketi haline getirdigim Syn-Flood Guard scrıptını belki bu dertten müzdarip arkadasların işine yarayacıgını tahmın ederek paylasmak ıstedım.

Scriptin özellikleri:

Script kurulumu başlangıç düzeyindeki kullanıcılarda düşünülerek en basite indirgenmiş halde
Script kurulumda kendini crontaba atıp her dk a netstat komutu ıle syn ıstek gonderen ip leri belirliyor.
Belirlenen ipler 10 (default) syn istegini aşıyorsa apf yada iptables yardımı ile sistemden uzaklastırılıyor
Uzaklastırılan ip lerin ne kadar süreyle sisteme girislerinin yasaklanacağı belirlenebiliyor
Uzaklastırılan ip ler loglanarak belirtilen mail adresine gönderilebiliyor.

Script Kurulumu

#wget http://www.hekhell.com/scripts/install.sh

#sh install.sh

Scriptin Sistemden Kaldırılması

#wget http://www.hekhell.com/scripts/uninstall.ddos

#sh uninstall.ddos

Script aslında sadece syn flood icin değil her türlü flood saldırılar için uyarlanabilir ve kullanilabilir. Farklı netstat komutları ıle iplerin farkli baglantı isteklerini degerlendirip loglatabilir ve belirlediginiz deger aşımlarından otomatik sistemden uzaklastırılmasını sağlayabilirsiniz. iyi forumlar...

windows için yokmu yaw. serverim haftanın 3 günü kapalı

win sunucu kullanmadım denebılır hıc o yuzden yanlıs yonlendırmek ıstemem lugelas ama duz mantık http://www.agnitum.com/products/outpost/ adresınden gercekten iddiali bir firewall olan outpost firewall'ı indirip denemeni öneririm.

Opteron' Alıntı:

win sunucu kullanmadım denebılır hıc o yuzden yanlıs yonlendırmek ıstemem lugelas ama duz mantık http://www.agnitum.com/products/outpost/ adresınden gercekten iddiali bir firewall olan outpost firewall'ı indirip denemeni öneririm.

Genişletmek için tıkla ...

firewall kurarken datacenter'ın desteğini almanı şiddetle öneririm. Nitekim, programı yükledikten sonra server'ın bağlantıları kesilebilir, ulaşamazsın. Bu nedenle böyle bi durumu göz önünde bulunurduktan sonra kurulum yap Bazı dc'ler firewall u silmek için 100-150$ falan isteyebiliyolar

ddos deflate den farkı nedir bunun açar mısın?

maniax' Alıntı:

firewall kurarken datacenter'ın desteğini almanı şiddetle öneririm. Nitekim, programı yükledikten sonra server'ın bağlantıları kesilebilir, ulaşamazsın. Bu nedenle böyle bi durumu göz önünde bulunurduktan sonra kurulum yap Bazı dc'ler firewall u silmek için 100-150$ falan isteyebiliyolar

Genişletmek için tıkla ...

dogru configure edıldıgınde nasılkı kişisel bilgisayarlarda internet bağlantını kesmiyorsa sunuculardada kesiceğini sanmam. Tabı yınede daha önce bir firewall kullanmış ve configure etmiş olmak yani tecrubeli olmak önerilendir

CyberTurk' Alıntı:

ddos deflate den farkı nedir bunun açar mısın?

Genişletmek için tıkla ...

ddos-deflate

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

çıktısını kullanarak belirledigin 150 (default) baglantıyı aşan ipleri blocklar.

Syn-Flood Guard ise

netstat -np | grep SYN_RECV | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n

çıktısını kullanarak sadece syn isteklerinde belirtilen 10 baglantı limitini aşan ip leri blockluyor.

Opteron' Alıntı:

dogru configure edıldıgınde nasılkı kişisel bilgisayarlarda internet bağlantını kesmiyorsa sunuculardada kesiceğini sanmam. Tabı yınede daha önce bir firewall kullanmış ve configure etmiş olmak yani tecrubeli olmak önerilendir



ddos-deflate

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

çıktısını kullanarak belirledigin 150 (default) baglantıyı aşan ipleri blocklar.

Syn-Flood Guard ise

netstat -np | grep SYN_RECV | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n

çıktısını kullanarak sadece syn isteklerinde belirtilen 10 baglantı limitini aşan ip leri blockluyor.

Genişletmek için tıkla ...

ddos-deflatede çoğu kullanıcı banlanıyorum ne yapabilirim diyordu ben modeme reset atın diyordum onlarda bıkmıştı bu durumda bu koruma onlar için bir müjde olacak

Çalışmıyor bu

aynen bu senin script bi işe yaramadı.

Cpanel Kullananlara ek olarak bir firewall...

Buda %100 çözüm getirmez ancak hiçdeğilse ufak tefek lame(r) leri uzak tutuyor...

wget www.ni.net.tr/dosyalar/csf.tgz
tar zxvf csf.tgz
cd csf
sh install.sh

daha sonra whm de addon bölümünde en alt kısma gelen yeni menü üzerinden ayarlama yapabilirsiniz tamamen düzgün anlatımlı İngilizce çözemezseniz tekrar yazın etkili bir örnek ayar yazalım buraya...

NOT: Bu kuruldumu APF BDF gibi şeylere ihtiyaç kalmaz kaldırabilirsiniz apf gibi konsoldan manual olarak kişi banlamak için csf -d yazıyorsunuz

çalışmadı diyen arkadaslar calısmadıgını nerden kontrol edıp anladıgınızıda acıklarmısın?

saldırı olduğunda netstat -np | grep SYN_RECV | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n komutunu yazıyorum ve 150 bağlantı yapan bir ip yi tespit ediyorum. Sonra onu banlamışmı diye bakmak için ignore.ip.list i açıyorum ama o ip yok. Bekliyorum acaba yazmayıp sadece iptables dan mı banlıyor diye ama ondan da banlamıyor çünkü ip 20 dakkadır aynen öyle kalıyor. Aslında bu koruma olsa çok işime yarayacak benim Teşekkürler.

deny_host_rules'a bakmayı denedınızmı hıc? ayrıca ıp blocklandıgında netstat ta cıkması normaldır ama ısteklerı sunucu tarafında degerlendırılmez.

Opteron' Alıntı:

deny_host_rules'a bakmayı denedınızmı hıc? ayrıca ıp blocklandıgında netstat ta cıkması normaldır ama ısteklerı sunucu tarafında degerlendırılmez.

Genişletmek için tıkla ...

sapıttı seninki kendi iplerimi banlıyo

Ni-Osman' Alıntı:

Cpanel Kullananlara ek olarak bir firewall...

Buda %100 çözüm getirmez ancak hiçdeğilse ufak tefek lame(r) leri uzak tutuyor...

wget www.ni.net.tr/dosyalar/csf.tgz
tar zxvf csf.tgz
cd csf
sh install.sh

daha sonra whm de addon bölümünde en alt kısma gelen yeni menü üzerinden ayarlama yapabilirsiniz tamamen düzgün anlatımlı İngilizce çözemezseniz tekrar yazın etkili bir örnek ayar yazalım buraya...

NOT: Bu kuruldumu APF BDF gibi şeylere ihtiyaç kalmaz kaldırabilirsiniz apf gibi konsoldan manual olarak kişi banlamak için csf -d yazıyorsunuz

Genişletmek için tıkla ...

Aynı sistem buradada mevcut bir deneme yapın derim.... bu eski scriptden daha etkili...

Ben csf kurdum zaten. Ama bunun da ayarlamaları baya uzun sürüyor. Yani ayarlayabildiğimden de emin değilim zaten. Bir ton port ekledim çünkü makinada ircd radyo accountları var. Security kısmındada hep warning yazıyor sebebi compile olayı Yani şu csf nin ayarlarını güzelce anlatabilen olsa ne kadar dua edecem .

Bir de lfd eggdropları servisleri ircd leri Suspicious Process olarak görüyor. Bunu şüpheli olarak görmemesi için napabilirim acaba ?

Şuan evimdeyim ancak işyerinden bizim ayarlar nasıl yapılmış yazarım şunu yap öncelikle ayar dosyasından

CT_LIMIT =

bu sizin kullandıgınız script ile aynı işi görür buraya baglantı sınırını girin örnek 50 sizin script firewall a sunucu iplerini ve local hostu ekler ama bu eklemez bu güzel tarafı

csf de spam veritabanlarındaki ipleri blok edebvilir spam yapan kullanıcıların otomatik olarak sitelerinde mail yolladıkları dosyaların chmod larını değiştirip spam a devam etmesini önleyebilir sunucu hakkında sürekli bilgi mailleri alabilir BDF ile aynı sistemi gören özellikleri kişiselleştirebilirsiniz mesela ssh a 5 kere yanlış girişde banlasın ama pop smtp de bu limit 100 olsun htaccses kodları ile şifrelenmiş dizinlerde 8 olsun gibi ayrıntılı anlatırım sabah...

Bekliyoruz

Merhabalar ; Csf ve lfd'yi 3 ay kullandim test ettim apf'den farkli ve kullanabilir al benisi mevcut degil , software ile 1 yere kadar rule yazarak korunabilirsiniz yuzde 30 guvenlik saglar , %85 syn ve turevi servis saldirilari icin ben cozumu hardware firewall'da buldum , ama genede software'de israr etmek isteyip hardware firewall'a aylik ucret cok gelir diyen arkadaslar icinse "mikrotik" yazilimini arastirmalarini tavsiye ederim profosyonel 1 ISP yonetim ve firewall yazilimidir senelik lisansi 100$ civarinda , teklan ve sistemnet gibi bir cok ISP software bazinda bunu kullanmaktadir.

ben APF kullaniyorum ama Server iplerini banliyor yani snucu iplerini bunlari banlamaması için ne yapmalıyım