Ataques UDP

Jose1310 · #1 (**permalink**) 10/10/2012, 11:00

al hacer un : tcpdump udp , tengo como resultado los siguiente :

(ver imagen de reporte aqui)
http://i.imgur.com/bpjBb.gif
en la parte ploma, va mi hostname

Al parecer tengo un ataque por UDP

Alguien sabe como puedo frenar este tipo de ataques?

hyperwin · #2 (**permalink**) 10/10/2012, 15:01

Qué SO usas?, qué firewall estás usando?

En la gráfica indica que el ataque viene desde la misma ip, si usais firewall bloquea la IP.

Jose1310 · #3 (**permalink**) 10/10/2012, 15:03

Gracias por preocuparte en este tema.

uso Centos + Whm/cpanel + CSF

lo que no se, es como bloquear un IP por UDP

lo ips que agrego al firewall , lo bloquea por TCP

ademas "4.brlcyk.com" no resuelve, le hago ping, tracer, y no puedo averiguar el IP para bloquearlo.

hyperwin · #4 (**permalink**) 10/10/2012, 15:45

Qué tipo de aplicación corres en el servidor?, solo hosting?

Jose1310 · #5 (**permalink**) 10/10/2012, 15:46

Solo Hosting estandar y tiene el plug streaming "whmsonic"

hyperwin · #6 (**permalink**) 10/10/2012, 16:11

En qué datacenter teneis el server?

Jose1310 · #7 (**permalink**) 10/10/2012, 16:12

colo4dallas

hyperwin · #8 (**permalink**) 10/10/2012, 16:16

Lo teneis con Collo4Dallas pero directamente con ellos o un tercero con rack propios en ese datacenter.

Jose1310 · #9 (**permalink**) 10/10/2012, 16:18

mediante un 3ero , que tiene rack propios en colo4dallas

hyperwin · #10 (**permalink**) 10/10/2012, 17:01

Si, estoy seguro con quien teneis ese servidor. En MB de cuanto es el ataque?

Jose1310 · #11 (**permalink**) 10/10/2012, 17:03

el promedio de consumo normal es de 7mb a 8mb

durante esos ataques, llego a 85mb promedio

hyperwin · #12 (**permalink**) 10/10/2012, 19:06

Habeis intentado bloquear todo el tráfico udp con iptables

Jose1310 · #13 (**permalink**) 10/10/2012, 19:08

esta bloqueado todos los puertos excepto el 53

(creo que por el 53 se estan metiendo)

no puedo bloquear el 53 , ya que mis dominios dejarian de resolver correctamente

hyperwin · #14 (**permalink**) 10/10/2012, 19:17

Este caso es muy similar al vuestro

http://www.linuxquestions.org/questi...k-ddos-931931/

marmota83 · #15 (**permalink**) 11/10/2012, 16:07

Cita:

Iniciado por Jose1310

esta bloqueado todos los puertos excepto el 53

(creo que por el 53 se estan metiendo)

no puedo bloquear el 53 , ya que mis dominios dejarian de resolver correctamente

La forma mas rapida de bloquearlo es lo que dice hyperwin, en terminal si tienes el CSF puedes hacerlo con el comando:

csf -d IP

no funciona mucho que cierres puertos por que puedes estar bloqueando servicios validos, el puerto 53 es para el servicio DNS entonces no es buena idea bloquearlo.. te recomendaria que hicieras un scan en el servidor de archivos para verificar que no tengas algun script que este generando este problema.

He tenido casos que desde el mismo servidor con scripts se generan ataques solo con el animo de bloquear el acceso al server.

hyperwin · #16 (**permalink**) 11/10/2012, 16:23

Siendo sincero el ataque no podrá bloquearlo a nivel del servidor con ningún firewall, porque aún así el ataque llega a su tarjeta de red y llena su tráfico, podeis pensar en un firewall a nivel de hardware

marmota83 · #17 (**permalink**) 11/10/2012, 16:29

es cierto lo que tu dices hyperwin si se sigue atacando desde fuera se satura la tarjeta de red, en el caso de no tener firewall fisico se puede hacer el bloqueo de la IP y el firewall rechazara la conexion y no habra consumo de ancho de banda, yo he bloqueado he intentado en el pasado y a ayudado, y tambien claro esta verificando que no se este haciendo desde el mismo server.