DDOS UDP флудом и подбор пароля/никнеймов?

Question

[Burevuh]

Здравствуйте. Машинка Debian 7. Начиная со вчерашнего дня идет подбор паролей и юзеров. Так же дудосят UDP флудом. Как защитится от всего этого своими силами?

Answer 1

[sim3x]

https://en.wikipedia.org/wiki/Port_knocking

udp - пока хватает канала и провайдеру пофиг у тебя есть возможность только самому собирать ип днс-нтп и др сервисов и отправлять им абузы

Но написать провайдеру тем не менее нужно
Ну и не забыть проверить - точно ли у тебя безлимит на траффик

Как вариант сменить ип и прикрыться клоудфлейром

Answer 2

[Андрей Никифоров]

Против подбора паролей/юзеров - fail2ban.
Против чистого UDP flood локальных решений мало, нужно искать способы внешней фильтрации. Попробуйте найти атакующую подсеть и забанить ее целиком.

Посмотрите еще вот это: ftp://ftp.ripe.net/ripe/docs/ripe-432.pdf

Comments

[Burevuh]

fail2ban стоит, но работает очень странно. Выборочно банит. Я вот подключил RSA ключи. И отключил авторизацию по паролю. Этого должно хватить для запрета подбора?

[Андрей Никифоров]

Burevuh: На мой взгляд - да, для запрета подбора должно быть достаточно, но попыток подбора это не остановит, насколько мне известно.

Что в логах fail2ban? Какой конфиг? Как вы определяете, что выборочно банит?

[Burevuh]

fail2ban у себя банит одни айпишники. Но в логе(habrahabr.ru/post/83202 - security.log) другие айпишники блокируются.

[Burevuh]

Андрей Никифоров

[Burevuh]

Нашел в настройках брандмауэра возможность прикрыть протокол UDP. не подскажите, как сделать это правильно? ISPmanager присуствует.

Answer 3

[CyberGrom]

Как ранее написали, от подбора паролей можно использовать локальные решения, в том числе fail2ban
А от UDP флуда нужно использовать фильтрацию на уровне дата-центра.
Если параметры известны, то можно ограничится несколькими правилами
к примеру:

#запрет всех UDP пакетов с порта #1900
<...> term deny_udp_port from protocol udp
<...> term deny_udp_port from source-port 1900
<...> term deny_udp_port then discard

# или блокируем весь UDP трафик кроме DNS
<...> term allow_udp from source-address 8.8.8.8/32
<...> term allow_udp from protocol udp
<...> term allow_udp from source-port 53
<...> term allow_udp then accept
<...> term discard_udp from protocol udp
<...> term discard_udp then discard

Подробности https://mnogobyte.ru/firewall_rules.html

Если параметров много, или они меняются, тогда выгоднее будет подключить защиту от DDoS