Cum tratam noi Flood-ul

De aproape o saptamana ne confruntam cu un numar destul de mare de atacuri asupra unor clienti. In linii foarte mari, sunt flood-uri de cam 300.000 – 400.000 de pachete pe secunda. In acest moment avem cam 400.000 de pachete pe secunda catre un client, prin Romtelecom.

Capacitatea echipamentelor noastre e de aprox. 480.000.000 de pachete pe secunda, prin urmare, un astfel de atac nu reprezinta o problema. Pe de alta parte, atacurile se bazeaza, in general, pe reply-ul ack si pe o lista de ip-uri spoofate din toate clasele din Romania.

Practic, un flood asupra echipamentelor noastre are foarte putine sanse sa dea jos un server, dar atacul printr-un ip spoofat genereaza un raspuns automat din partea ip-urilor receptoare, care la randul lor transmit pachete utilizatorilor al caror ip a fost spoofat, dar care ar putea sa nu aiba vreo legatura cu noi sau clientii nostri. Suna complicat, nu?

Pe scurt, eforturile noastre si ale providerilor se concentreaza pe filtrarea pachetelor la iesirea din retea, nu la intrare. Pana intervin filtrele providerilor, reglarea se face in infrastructura noastra de border, pentru ca traficul de flood sa nu ajunga in retea si clientii sa nu fie afectati.

In timpul acestor atacuri, vizitatorii care acceseaza site-uri gazduite de noi ar trebui sa nu perceapa nici o diferenta. Daca link-urile catre provideri sunt congestionate, traficul este redirectionat prin alte retele si serviciile raman in picioare, indiferent de gravitatea atacurilor.

Un weathermap live al conexiunilor dintre noi si provideri nostrii poate fi vazut aici.

Alte informatii:

• Cel mai mare flood pe care l-am inregistrat pana acum a fost de 1.200.000 pachete si a cauzat caderea a patru dintre providerii nostrii – dar am mentinut disponibilitatea serviciilor prin cei ramasi.
• Cele mai distructive atacuri sunt cele facute de incepatori – “script kiddies”. Acestea nu sunt gandite sa atace un singur site si reusesc sa afecteze o parte insemnata din ceea ce inseamna reteua de internet din Romania. Aceste tipuri de atac (fara nici un sens :)),  nu afecteaza hosterii sau clientii gazduiti ci doar utilizatorii normali de internet.