Cloudflare i Captcha na ES-u?

deja:"@maksa, nikola:
Pa throttling(rate limiter) je, ono, skoro, pa obavezna stvar kod rest api-ija i web-a generalno. Vracas response code 42x, ne pustas konzumaciju nikakvih resursa(db, page procesing, static files...). To je sastavni deo, posteno napravljene web app-a.
Za te situacije ne moras da pazaris 3rd party resenja."

a kako detektujes da si dosovan, tj da server vise ne prihvata konekcije? Moji napadi koje sam sretao su specijalno kraftovani da prevazidju upravo ovakve odbrane.
Ono sto sam ja napravio je da napade koji su kraftovani da prevazidju ovakve odbrane, detektujem tako sto bih video da raste broj konekcija i da onda
kada se dostigne maks konekcija restartujem server. I to je pokrilo sve napade sa kojima sam se susretao...

Ja sam video kod kolege ovde, neko im je je*ao sve po spisku a provajder T-Online (B2B), bukvalno nista nije moglo da se mrdne. To je bilo pre 7-8 godina. Danas sumnjam da bi proslo posto bi verovatno samo odmah platili T-Online zastitu koja bi saobracaj odvukla negde drugde.

Kolicina saobracaja koju milioni zombi masina mogu da naprave je impresivna.

Problem je, sve i da imas opremu i linkove koji mogu da izdrze, ti tu opremu placas - i to je placas ne da izigrava metu za DDoS-ere vec da radi nesto pametno.

Zamisli tonu najskupljih rutera, sviceva, hiljade distribuiranih servera i visestrukih optickih linkova koji rade... nista korisno za tebe, ali ti i dalje placas racun + gubis posao od musterija koje ne mogu da pristupe tvojim sajtovima.

E zato ljudi placaju CF, Akamai i ostale koji pool-uju infrastrukturu pa prakticno placas manje i ne gubis posao.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

I ja sam primetio da mnogi ne znaju kako je nastala fraza... Ali vole da pišuuu!
Krez, kralj Lidije

Pa jedino na ruteru to moze da se ukine, softverski sa servera ne mozes nista. Paketi stizu pa stizu iako beskorisni, bw se trosi pa trosi. No ziasta mora da bude jako mnogo masina, pogotovo sto danas linkovi nisu malog bw-a.
No mislim da je ovde na ES drugi problem , a to su ovi spam botovi kako sam cuo od Gojka ovde. To nije DOS klasican nego spamovanje po forumu. A forum zastiti je mnogo teze nego neki servis koji mozes da sakrijes
ili sprecis pristup bazi ili naprosto mi smo imali servis kojio je isao u batch obradu nije moralo real time da se odgovara...

A Bane, kako se branis od desetak hiljada racunara koji salju regularan GET? Imas botnet, koji ti salje desetine hiljada GET-ova. Kako odgovaras na to? Kako znas da je u pitanju "bot" a ne regularan browser? Posalje samo GET, Host header, uredno popunjen i neki user agent recimo za firefox. Sta onda? Banujes sve koji rade GET / ?

E, o tom napadu ti pricam, ja sam to imao pre par meseci recimo. Mala zombi mreza par hiljada racunara (to je malo u odnosu na neke druge), cepaju GET svake sekunde. Regularni racunari, korisnici ne znaju da im se taj mallware vrti na racunaru.

I da, sa ovim se sam se ja sreo, licno, video, gledao logove..... Nije prica iz trece ruke. Meni je pomogao Cloudflare sa ukljucenim captcha. Throtling je OK ideja, ko ima load balancer koji ima resurse i mogucnosti da radi throtling per IP, za ceo internet (sve IP-ove koji postoje) i kome ne smeta da plati link koji ce da se zagusi sa 4xx responsima. Takodje, vodite racuna, throttling mora da ima jako velike limite - pitanje je da li bi ste uhvatili ovo. U proseku sa jednog IP-a u ovakvom napadu, u 10 minuta, dodje recimo 100-200 requestova, sto je dovoljno malo da je pitanje da li da radis throttle - jer to moze da bude i jedna srednja/velika firma iza jedne IP adrese - ili jedan komsiluk iza CG-NAT-a, ako imas sajt koji moze da bude popularan nije nenormalna kolicina. Problem je sto botnet ima, lupam 2000-3000 racunara ili vise. Da, kad smo kod linka, taj botnet i primi odgovor - tim racunarima nije problem, sto znaci da tvoj link treba da svake sekunde posalje par stotina ili hiljada kopija iste strane, pa placas i taj bandwidth.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Nikola:"A Bane, kako se branis od desetak hiljada racunara koji salju regularan GET?"

Nije problem ako se zatvara konekcija. Kazem dual core masina moze da obradi takvih 40k u sekundi. Zapravo to moze i na jednom jezgru.
A zavisi najvise od bw. Problem je ako taj get zahteva i nesto da se radi osim da se samo vraca content. E onda moras da razmisljas.
Kod nas je islo tako sto je isao samo req a onda je islo u batchu na kasniju obradu. No glavna strana nikako nije bila dostupna,
za to je morao login da se prodje ;)
Forum zastiti je malo teze ako mogu da drljaju po diskovima, tu ne moze ni nekoliko stotina reqs-a na prosecnoj masini...
Mislim ono pricali smo o tome kako radi amazon i ti veliki sto imaju jako mnogo transakcija ...

Ti kapiras da se taj bw placa? :) Nije problem zakesirati celu stranu za neulogovane korisnike (kao sto su botovi), ali njih ima mnogo - plus se i bandwidth placa, plus imas i normalne korisnike kojima treba da radi....

Rezon "uzmem ja par TB/s da placam, cisto da ne mogu da me DDoS-uju" nije bas ekonomski isplativ. Zapravo, ovo je sustina kako se koristi npr. CF : Napravis ga kao proxy, zakesiras celu front stranu za neulogovane korisnike i da... to je to. A posto ni njima bw ne raste na grani, dodas malo js provera, cisto da se ne bi smarali sluzeci botnetima.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Ja bi uradio ovako al ja se nepitam.Zvao mup iz sup a i trazio odljenje za tehnoloski kriminal i te tehnologe na robaju

Pa sad bw se trosi, e sad nek gledaju da se ne zamere previse :P
Nego da se nadodam, najveci problem je kad samo otvore konekciju i ne salju nista, onda lako popune fond konekcija i dos-uju
server. Mislim ono mi smo stavljali do 12 sekundi da cekamo, posto je to dozvoljavalo ali i sa 12 sekundi su stizali da izbilduju
fond konekcija pa je morao restart :P

Prvo treba da nadjes ko je operator botneta, sa obzirom da nemas pristupa tim masinama tesko ces moci naci, tim
pre sto moze preko nekog vpn/a proxy-ja da radi..

Puno srece. Podnosis krivicnu prijavu protiv N.N. lica, za napad sa vise hiljada adresa iz celog sveta, a lik ne znas ko je, eventualno ti se javio na telegram..... :) Da, da... to ce MUP da resi.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Connection drain je problem, stoji - ali problem je i traffic, zapravo. Sve i da iskesiras sve u RAM (a pocetnu stranu za neulogovanog korisnika mozes), opet treba neko da plati te Tb/s ... Oni sa par hiljada racunara nabace brzo, ukupno, iz celog sveta, dovoljno da zaguse link (tvog servera/reka ka provajderu) da regularni korisnici imaju problem. Tako da, super da ti saljes njima ali :

- Placas kao lud, posebno ako imas svoje IP adrese pa moras da imas svoj BGP ruter
- I dalje regularni korisnici imaju los ili nikakav pristup, jer botovi pojedu sav bandwidth

E - zato lepo preusmeris na CF, koji ima Tb/s i koji radi proveru pre nego sto saobracaj dodje do tebe - i ti nemas problem.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Ja ne znam cene, ali ono sto sam cuo je da za vec par desetina dolara mozes da dobijes "low intensity" napad na par nedelja..... Takodje, ako dovoljno moljakas po nekim sajtovima (4chan mislim da vise nije aktuelan) mozes da dobijes i free, tipa "ako nema nista drugo - gadjaj Buzz-a".

Stavi CF. Nije za izmet, a free plan ti je, verovatno, dovoljan.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

@Branimir Maksimovic,

Ideja iza CF-a je jako prosta: tvoja infrastruktura (linkovi, ruteri, svicevi, kutije, struja, ...) treba da se koristi za obavljanje tvog posla, sta god da je.

Znaci ti tu infrastrukturu placas X EUR mesecno.

Posao preko te infrastrukture ti donosi Y EUR mesecno, ali samo ako ta infrastruktura biva dostupna za posao.

Znaci, racunica ti je laka - napadi obaraju % infrastrukture slobodne za posao + to ti obara i zaradu zato sto manje infrastrukture imas za komercijalu.

U najgorem slucaju mogu da ti zauzmu 100% infrastrukture, u kom slucaju placas 100% troskova a imas 0% zarade. Ocigledno nije dobro :-)

Zato postoje firme poput CF-a, Akamai-ja i sl. koje ce ti prodati njihovu infrastrukturu kao "stit" od napada. Kako ovo moze da ti se isplati? Zato sto CF "pool-uje" svoje resurse i imaju daleko vecu infrastrukturu nego sto ti mozes ikad imati. Ti, prakticno, delis troskove toga sa gomilom drugih zato sto necete svi biti napadnuti u isto vreme :-)

Kao tajm sering suncobrana :-)

Racunica je tu skroz cista. Ovaj biznis je maksimalno optimizovan i predstavlja mozda ne nesto najblize ali vrlo blizu idealnog trzista van berze ili aukcija. Veliki igraci koji kupuju CF/Akamai servise imaju jako dobru ideju koliko sta kosta i zasto im se isplati da "outsource-uju".

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Hm, problem je kad se pise duza poruka ili posle nekog vremena. Kad posaljes poruku posalje te na CF i kad te vrati na ES, 🖕. Srecom pa je FF zapamtio kad sam uradio back...

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Ma sve pet i to ali, ddos terorizam je ipak pobedio, jer paranocicno proveravanje captchom na svakih 5 minuta, govori da CloudFlare sistem i nije tako neprobojan...