Где живут жирные ботнеты или blackenergy bot analysis avaible

Вообще банить в блэк лист это хорошо, только вот ботнеты имеют свойство увеличиваться!

И это малоприятно. Вы представляете себе возможность хранить хотя-бы список из половины всех ipv4?

Даже в бинарном виде это кошмар!

Отсюда - нужны веса!

Ну а веса ессно назначать методам/или слою имеющему свой тайм-слайс(час/неделя/год/сколько придумалось).

Я так большую часть аттак отражаю. Если потребляет ЭТО больше чем среднестатистическое приложение - либо лимит ему, если не досмерти грузит

локальное приложение(ну и не доходит до границы корреляции с прерыванием), маркер ему ставим и вес увеличиваем, (ессно учитывая перетасовку базы с весами, а когда это делать -это другое дело, хоть сразу, хоть по какому алгоритму).

Одно жаль, ДДОСы занимающие весь канал(да вообще любые виды транзакций, хуже - односторонних), дык вот, их не реально глушить!

Это либо нужно договариваться о протоколах с neigbours (хотя там и так резервация на мостах есть, если высоко взять), либо ничего толком не сделать,

ибо "отвесив" сервис любым из методов - мы лишь отвешиваем сервис. А в случае как-раз не транзакции а флуда, да еще одностороннего - ну нифига не сделать!

Займут канал и все тут(хорошо если более одного, но могут и оба рипнуть).

Жалко никто не выдвинул протоколов "коллективного управления шейперами" в виде "доверительной системы" с "накапливаемыми привилегиями".

Ибо траффик какой-бы ни-был он всяко самоподобен! (кстати на базе такой системы вообще элементарно экстремумы найти, и средства простецкие).

Если в битовом массиве, то это 512Мб... если в каких-то других структурах, то 100 тыс адресов спокойно умещаются в L2 кэш-е CPU.

а что кошмарного?

каких атак?

Нихрена не понял.... но могу заметить, что в BGP есть возможность нульраутить по SRC, правда на /32 распыляться смысла нет... от /24 аплинки ИНОГДА позволяют. Так же есть такие термины как CIR и PIR, если мы про шейперы и гарантию. Средства обнаружения атак сейчас реализованы на базе анализа стастистики или прослушиванию трафика... десятигигабитные снифферы на полную десятку уже давно есть.