Опять?

[Ломатель]

Напомню, что на случай падения Веги есть резервная Telegram группа-чат.

https://t.me/vegalab_backup

В которой уже почти 100 участников. Присоединяйтесь.

[владимирр]

Присоединяйтесь.

Уже.

[Konkere]

Напомню, что на случай падения Веги есть резервная Telegram группа-чат.

[nikolayms]

Как ботнеты на базе IoT используют для DDoS-атак

Значит надо вычислять эти приборы и рассылать их владельцам адресные ролики с инструкцией по обновлению прошивки устройства и смены пароля(если меняется). Айпишник сети известен, вот на все устройства этой сети необходимо настроить таргетированную рекламу. Что в вашей сети находятся взломанные устройства - обновите прошивку или вызовите мастера.

---------- Сообщение добавлено 12:22 ---------- Предыдущее сообщение было 12:20 ----------

Konkere, _Summit_-у и всем прочим причастным - искренне желаю бесконечного здоровья.

присоединяюсь!

[_Summit_]

присоединяюсь!

Спасибо)

---------- Сообщение добавлено 12:47 ---------- Предыдущее сообщение было 12:46 ----------

Значит надо вычислять эти приборы и рассылать их владельцам адресные ролики с инструкцией по обновлению прошивки устройства и смены пароля(если меняется). Айпишник сети известен, вот на все устройства этой сети необходимо настроить таргетированную рекламу. Что в вашей сети находятся взломанные устройства - обновите прошивку или вызовите мастера.

Не все так просто.

[waso]

Банить подсеть полностью на фаерволле и пусть сами разбираются, у кого чего заражено...

[EDDiE]

Значит надо вычислять эти приборы....Айпишник сети известен, вот на все устройства этой сети необходимо настроить таргетированную рекламу.

это можно запросто сделать через Shodan.io или Thingful.net, и узнать ip почти любого устройства подключенного к сети, например, гаджетов с интернет-каналом, принтеров и веб-камер, кардиостимуляторов и датчиков паровых турбин на электростанциях

[waso]

Ну и кому там показывать таргетированную рекламу, если учесть, что в большинстве случаев IP динамически выдаётся из всего пула адресов провайдера? Холодильнику или онлайн-камере? То есть сегодня атака идёт с одного IP, завтра с другого, послезавтра-с третьего, но все они из одного и того же поддиапазона.
Кроме того, если считать распределение гаджетов по миру равномерным (что не совсем так), то в каждой стране их количество пропорционально населению. 140 миллионов и 8 миллиардов. Из моего опыта - атаки идут из заграна 99%. Вот и пусть пасутся.

[_Summit_]

Не все так просто.
Часть трафика идет с поддельных IP адресов. Провайдеры не заморачиваются и выпускают со своего оборудования пакеты с SRC IP не из своих подсетей.

[waso]

Не все так просто.

Не вижу смысла усложнять.

и пусть сами разбираются

Если кто-то и влетит в бан-лист вместе со спамящим поддиапазоном, то для обратной связи есть Телеграм-канал. Но почему-то уверен, что этого не потребуется.

[_Summit_]

Не вижу смысла усложнять.

А я и не говорю, что есть смысл усложнять. Оно не просто - это факт. Об этом еще в самом начале говорил. Я не жалуюсь, просто хочу предостеречь от неправильных выводов.

Если кто-то и влетит в бан-лист вместе со спамящим поддиапазоном, то для обратной связи есть Телеграм-канал. Но почему-то уверен, что этого не потребуется.

Влетают и без диапазона. У кого браузер не совсем корректно себя ведет, кто начинает открывать TCP соединение и бросает его в таком состоянии. Все признаки ботоводства, но это обычные пользователи.

Еще раз... От DDoS защиты практически нет. Можно пытаться блокировать трафик во время атаки и ждать когда она закончится.
Зарубежные сети от куда часто идет трафик во время атак я стараюсь прикрывать крупными блоками. Но таких не много. Много разных IP адресов со всего Земного шара.

[Merstan]

Offтопик:
deny all
allow

[nikolayms]

Не все так просто.

Зато так можно обезвредить большинство ботнет сетей. Админы бьются с последствиями юзерской неграмотности, подразумевая тупость пользователя "по умолчанию". А надо "вылечить" корень проблемы. Вопрос в реализации. Оплачивать, по сути, социальные проекты из своего кармана не получится (я имею в виду таргетированную рекламу). Возможно ли выдавать список атакующих айпишников из сети на странице "вашему IP отказано в доступе, так как с таких то айпишников наши сервера подвергаются атаке"? Для человека, знакомого с администрированием будет понятно, что нужно сделать.

[waso]

Николай, как я уже говорил, большинство атак идут из-за рубежа. Где на одного зареганного посетителя форума и на 10 периодически набредающих через поиск Гугла придётся 10000 узлов ботнетов. Ну нет смысла ждать чего-либо дельного с IP-адресов Мьянмы или ЮАР, например, так же как и из Индии и Китая. Много на Веге пользователей с такой локацией? Думаю, ответ понятен. Нафиг надо заморачиваться. ICMP-трафик уже прикрыли - и это правильно, сайт нельзя пропинговать.

[Meta|_]

Значит надо вычислять эти приборы и рассылать их владельцам адресные ролики с инструкцией по обновлению прошивки устройства и смены пароля(если меняется).

Не взлетит. Разве что организовать большой образовательный проект планетарного масштаба
Мы пытались подобным образом заставить наших клиентов (покупателей нашего железа-софта) нормально настроить доступ по нашей инструкции. Очень это трудно. При том, что контакты некоторых нам были известны, а атака для пользователей была куда более неприятная чем DDOS неизвестного (для них) интернет-сайта.

[waso]

Мы пытались подобным образом заставить наших клиентов (покупателей нашего железа-софта) нормально настроить доступ по нашей инструкции.

100% так и есть, как вы пишете. Не будут они ничего настраивать. Ну не будут - и всё. Ровно то же самое про попытку заставить массовой таргетированной рекламой заняться антивирусной защитой ПК и гаджетов. Проходили.

Offтопик:
У нас в администрации области решили от ДДоСа закрыться "белым" списком доступа, включив туда всех (как они думали) провайдеров по области. Оказалось-забыли то, что пул Ростелекома, например, распространяется не только на Кемеровскую область, но и на Сибирь в целом. И он не цельный, чтобы прям "от сих до сих", а имеет много поддиапазонов. Но я пока не встречал атак с адресов РТ. До кучи: дома и на работе провайдер один и тот же, но дома сайт открывается, а на работе - нет. В чём дело? - а в том, что для "физиков" и для "юриков" у провайдера разные пулы IP и пул "физиков" в список включён, а про юрлиц как-то забыли.
В общем, ребята явно перестарались и много чего не учли...
Короче, надо думать и делать бан-лист умно, ориентируясь не только на факты атак, но и на потенциальную полезность региона для сайта.

[_Summit_]

Ребят, вы всерьез думаете, что атакуют обычные домашние хосты с IP адесом выданным провайдером?

[Dieselboy]

Ну да, конечно, бытовая техника атакует аудиотехнику.

[waso]

атакуют обычные домашние хосты с IP адесом выданным провайдером?

Наловят троянов и становятся узлами ботнетов.
Материал о том, как такое происходит, подготовленный с участием лаборатории Касперского.

[_Summit_]

Наловят троянов и становятся узлами ботнетов.

Но не факт, что они своим IP "представляются".