Forum Debian Users Gang

[quote=Jacekalex]TCP, UDP czy ICMP?[/quote]
Gdybym to ja dokładnie wiedział :)
[quote=Jacekalex]Ja bym radził Snorta, potrafi dosyć grzecznie logować prosto na konsolę, da się to wrzucić do jakieś bazy albo pliku  i analizować na 1000 różnych sposobów regexami.[/quote]
przy próbie instalacji snorta chce mi pół systemu instalować :/

najlepszy byłby jakiś how to, ewentualnie exampel z wykorzystaniem tcpdumpa.
zapisałbym wynik tcpdumpa do pliku powiedzmy z minuty słuchania i taki plik "wygrepował" zliczając ilość połączeń do hosta.

dla inputa można łatwo zrobić netstatem i jego grepować, a tu chodzi konkretnie o forwardowany ruch.


a co powiecie o Iptraf? qrde, byłby wyśmienity ale pokazuje tylko TCP, nie pokazuje połączeń udp ani icmp w zestawieniu i sortowani

Ostatnio edytowany przez Nicram (2016-02-24 20:48:54)

[quote=Nicram]Witam
Ostatnio mam jakieś ataki DDoS. Nie wiem czy jest to atak wiele do wielu ale na pewno jest to atak z wielu źródeł, ale czy do jednego ip to niestety nie wiem.
Na routerze działa quagga z bgp i są podpięte dwa łącza. Niestety nie ma żadnego analizatora by ładnie wyłapać ten ruch.
Chciałby np zapuścić tcpdumpa w momencie ataku, ale zanalizować wynik?

z góry dzięki za podpowiedzi.[/quote]
Zrób port mirror na switchu  którego masz na brzegu sieci, postaw NTOP na jakimś luźnym kompie podpiętym pod mirror.
NTOP pozwoli Ci organoleptycznie ogarnąć co kto gdzie ;)

http://www.ntop.org/

Nie masz switcha na brzegu sieci - kup ;)

[quote=jurgensen]Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.[/quote]
Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w [url=https://forum.dug.net.pl/viewtopic.php?pid=298268#p298268]innym wątku[/url]. XD

Ostatnio edytowany przez Jacekalex (2016-03-01 18:01:01)

[quote=Jacekalex][quote=jurgensen]Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.[/quote]
Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w [url=https://forum.dug.net.pl/viewtopic.php?pid=298268#p298268]innym wątku[/url]. XD[/quote]
To jak mierzenie wieloryba suwmiarką.
Da się, ale pomyśl, że można prościej i lepiej.
A, zapomniałem ego nie kazało.. ;)

[quote=zlyZwierz][quote=Jacekalex][quote=jurgensen]Również zdecydowanie to, co pisze złyZwierz. NTOP może nie jest super stabilnym narzędziem, ale po odpowiednim dostrojeniu sprawuje się naprawde nieźle.[/quote]
Obaj macie malutkie opóźnienie. ;0

O ile mnie wiadomo, adresy z "lamersko-partyzanckiego" użycia tcpdumpa grzecznie lądują w ipsecie, co było widać w [url=https://forum.dug.net.pl/viewtopic.php?pid=298268#p298268]innym wątku[/url]. XD[/quote]
To jak mierzenie wieloryba suwmiarką.
Da się, ale pomyśl, że można prościej i lepiej.
A, zapomniałem ego nie kazało.. ;)[/quote]
Może i wieloryba suwmiarką, jednak w Ntopie można sobie pooglądać, a z różnych Snortów czy Tcpdumpów można wyczesać adresy  prosto do Ipseta,
jak to ładnie oskrypcisz, to będzie  robiło się samo, nie trzeba się  tym wtedy za bardzo opiekować.

Z resztą do Snorta były (i nawet są) dwa sympatyczne narzędzia, Snortsam i Guardian.pl, ale ostatnio Snort na różne sposoby stara się zakończyć z nimi znajomość, dlatego integracja Snorta z FW wymaga troszkę gimnastyki.

Pozdro

Ostatnio edytowany przez Jacekalex (2016-03-01 22:26:20)

[quote=zlyZwierz]Da się i NTOP oskryptować.

http://www.ntop.org/ntopng/scripting-ntopng-with-lua/
http://lists.ntop.org/pipermail/ntop/2014-May/017789.html
https://github.com/xtao/ntopng/tree/master/scripts/lua/examples

http://www.wuerth-phoenix.com/fileadmin/NetEye_Conference_2014/Presentations/14.00-14.30_LucaDeri.pdf[/quote]
Oczywiście, ze się da, ale jeśli już pakujesz się w jakieś skryptolenie, to nie ma wielkiej różnicy, co tam pluje adresami do skrypta, Snort, Tcpdump, Suricata czy Ntop albo Ngrep.

Snortokształtne  sniffery mają tą zaletę, że można w nich stosować różne zestawy reguł pozwalające rozpoznać różne klasy ataków, podczas, gdy oskryptolony tcpdump czy ntop to jest tak ślepa śrutówka, która wali na oślep.

Nawiasem pisząc, sam poczciwy netfilter sam ma dość zabawek na ataki DOS/DDOS.
Ale też jest troszkę zabawy z prawidłową konfiguracją.

Ostatnio edytowany przez Jacekalex (2016-03-01 22:42:13)

[quote=Jacekalex]Nawiasem pisząc, sam poczciwy netfilter sam ma dość zabawek na ataki DOS/DDOS.
Ale też jest troszkę zabawy z prawidłową konfiguracją.[/quote]
Bez sensu, to jak zatykać odkręcony kran palcem w nadzieji, że przestanie pryskać z niego woda.
Są inne narzędzia do tego :)

[quote=zlyZwierz]Ja tam wolę ;), ale niech sobie Marcin sam oceni, co Mu pasuje :)
Myślę, że jako ISP (a tym pewnie się zajmuje) mało interesuje go co to za atak, po co i dlaczego.
Interesuje go raczej cel ataku i wolumen - po to żeby wiedzieć, czy go olać, czy dodać do bgp blackhole.[/quote]
Tak, dokładnie tak jest.
W związku z tym, że quagga na linuksie podczas ataku trochę "przysiadała", miałem overrun i dropy na sieciówkach a pakietów było max 250k-300k/s (tak pokazywało cacti, a czy to prawidłowa wartość to nie wiem). w tym momencie łącza od dostawców nie wzrastały na 100% a raczej spadały z i pinga robiła się szatkownica, w tym czasie zrywało sesje bgp i quagga kręciła, kiedy znów sesja się nawiązała quagga znów liczyła itd. efektem była degradacja łącza, w cacti statysyka pakietów 4-5x większa niż normalnie.
zainstalowałem sobie nawet ntopa z repozytoriów, żeby mieć podgląd i nie grepować tcpdumpa, ale w momencie ataku jak go odpaliłem to wszystkie procki 100%, load w górę, nawet nie mogłem zalogować się do ntopa. po prostu maszyna się zamuliła.
Boss postanowił zakupić coś konkretniejszego by przy takim ruchu się nudził :) czyli routerek cisco.
i tu się jeszcze zastanawiam, czy zrobić NetFlow z interfejsów od dostawców i ntopng czy raczej mirror portów i też zbierać ntopem.

ale zanim maszynka przyjedzie, niestety nie stać nas na zakup takiego nowego :/ a na ebay jest taniej, muszę radzić sobie z tym co mam, czyli tcpdup i grep.

Ostatnio edytowany przez Nicram (2016-03-01 22:53:14)

Czemu quagga (jak to kiedyś kolega papisał "kurwagga") a nie bird ?[/quote]
Albo Openbgpd razem z całym systemem, firewallem PF i śliczną zabawką - PFsync.
Zdaje się, że  Cisco ani Juniper nic lepszego od OpenBSD w tych swoich gratach nie mają.

Ostatnio edytowany przez Jacekalex (2016-03-01 22:57:37)

---

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)