Чем мониторить трафик?

с сырым netflow только спец. заточенный софт может работать. все остальное уже из агрегированного. зная особенности детектирования атаки на базе netflow сенсор можно обмануть. скажем анализировать его по правильному очень сложно, но с учетом анализа только для HTTP задача упрощается.

kostich добавил 05.12.2011 в 14:02

хостинг или корп. проект?

А о практическом смысле речи и не было. Товарищ явно дал понять, что чем нибудь эдаким хочет заморочиться. Ну так и пускай себе настраивает хоть netflow, хоть что.

Хостинг (Хостинг , реселлинг ВДС и Dedicated)

то есть стоит задача защитить все услуги

Думаю, это не самая лучшая постановка задачи. Т.е. если под защитой дествительно подразумевается не оперативное отключение атакуемого клиента (тоже защита, кстати), а блокирование паразитного трафика.

Этот вариант защитой назвать трудно (кроме как защита своего сервера) но по сути отключив юзера ДДосер может праздновать победу так как получит то что хотел, не так ли?

А вот отправка атакуемого IP на второй бордер плюс активация на нём определённых фильтров вполне способна (не во всех случаях) но во многих , очистить трафик и отдать его клиенту, при этом ресурс клиента останется рабочим я думаю решение не плохое, но к нему ещё идти и идти....

babiy - Вы думаете другим хостерам, да что хостеры, дц не желали бы этого?, но вы не сможете проглотить всё то что будет идти на вас. поэтому отключать мощный флуд выгодно, вырубив айпи клиента, а мелкий, на это есть сёрчь, и мелкие защиты + админы.

Или покупать дорогостоящее оборудование cisco + нанять грамотного админа, и то не факт, надо сначала проработать систему защиты.

Простую схему я вам привёл, вы что-то поняли в ней ? - можно счетать скачки траффика, путём сложения времини, зачем далеко ходить хетцентр так считает, и в принцепе нормально, выявляет крупные атаки, но вот он не блочит атакующих, а блочит айпи сервера своего ;)

Честно скажу мне всё равно кто и что желал бы, те кто желали чего то те что то и сделали и определённый уровень защиты выработали и успешно применяют, и ни кто и никогда делится такой практикой не станет (и это нормально так как собирается и строится всё подобное по крупицам) но я и не просил не у кого конкретной методики, мне нужно только перечень возможных утилит для мониторинга трафика , и не более того , далее я сам уже буду копать и мучаться настраивая тот или иной инструмент и доводить его к тому состоянию что нужно мне.

а я и не собирался бится с тем что явно больше моих канальных возможностей, и естественно такие атаки будут присекаться именно блокировкой апи

Благо за время своей практики гуглем пользоваться научился и на большинство непонятных мне вопросов я ответы нахожу, анализировать я буду все предложенные схемы и все предложенные инструменты, испытательный стенд уже под это дело готов

Причём тут гугл, я вам писал на 2 странице защиту, с рисунком :)

Это защита _других_ клиентов.

Зависит от цены, но Вы вряд-ли вложитесь в серьезную защиту для клиента на 5$ - когда у Вас есть еще 1k таких. Некоторые вещи экономически неоправданы.

Получаем следующий геморой:

1) разработку системы и интеграцию в СУХ

2) защита "от многого", но не ддос (никаких SLA Вы пообещать клиенту не сможете - и нахрена ему четвертьзонтика над головой?)

3) вероятность потенциальных проблем, ложного срабатывания и т.п. - в следствии усложнения системы в целом

4) счастливую техподдержку, которая будет объяснять марьванне почему она не может попасть на сайт о домашних кошках из-за вирусни, которая долбилась в недавнем ddos на какой-нибудь порносайт того же хостинга... Или у Вас отдельные списки для блокировки будут, per client?

Адски отписал. Я с ддосами борюсь только чтобы ддосеров обломать... Вообще правильно - экономически такое не оправдано обычно. Но если у ТС планируется и ценник на услугу соответствующий - почему бы и нет? Возможности у него вроде есть.