Атаки на форум.

С вечера 03.08 наш ресурс подвергся ДДос атаке.
На сейчас работоспособность восстановлена, но мы не исключаем возможности, что это повторится. Так что сильно не пугайтесь :)
В течении следующей недели нами будет проведена работа по недопущению таких ситуаций в дальнейшем. В связи с чем также возможны временные перебои.

Уважаемые коллеги! В течение почти двух суток форум находится под DDoS - атакой. Хостер принимает требуемые меры по нейтрализации атаки. Просьба относиться с пониманием к возможным отказам в обслуживании.

Боятся, значит :)

одно из двух (ИМХО):
-- либо мы уже кому-то хорошенько соли на хвост насыпали,
-- либо готовят какую-то операцию и боятся, что работа нашего форума не даст осуществить её в полном размере.

[quote=NickGolovko;126703]суток форум находится под DDoS - атакой. [/quote]
Это давно следовало ожидать:)

Сейчас форум очень притормаживает

М.б. в правилах дать прямую ссылку на форум Касперского:
[url]http://forum.kaspersky.com/index.php?showtopic=23473[/url]

Мне так кажется или форум Касперского тоже иногда тормозит?

[quote=DoSTR;126737]Мне так кажется или форум Касперского тоже иногда тормозит?[/quote]
К сожалению, не кажется :(. На форуме Касперского проблема с железом, которое не справляется с нагрузкой и постоянно берёт тайм-аут для отдыха. Проблема давно известна, администраторы обещают её исправить до конца года.

[QUOTE=anton_dr;126702]С вечера 03.08 наш ресурс подвергся ДДос атаке.
На сейчас работоспособность восстановлена, но мы не исключаем возможности, что это повторится. Так что сильно не пугайтесь :)
В течении следующей недели нами будет проведена работа по недопущению таких ситуаций в дальнейшем. В связи с чем также возможны временные перебои.[/QUOTE]
Да, пару дней было очень тяжеловато зайти на форум. Откуда атакуют то? Китайцы наступают, али русичи свирепствуют?

Действительно. Можно чуть больше информации о проишодящем?

Одно ясно - сволочи :)))

Надо давить всех спамеров, ботнеты, вирусы и тд :)

[QUOTE]Откуда атакуют то?[/QUOTE]

Насколько я знаю, атакуют с разных IP - скорее всего ботнет...

Сейчас идет работа по поиску нового, более надежного хостера.

Любопытное наблюдение - я периодически измерял отклик форума, сейчас почти нормализовалось. Пинги по прежнему с большим временем отклика, порядка 250 мс, но сайт стал реагировать нормально

На данный конкретный момент ситуация в норме, наблюдаем. Возможно, до пользователей все же добрался детект зловреда :) Параллельно мы находимся в поиске более компетентного хостера. Хочется пожелать успеха самим себе. :)

Атака шла (идет) с ботнета - хостер закрывал одни IP - шла с других. Хостер, по его уверениям, поставил специальные
моды для защиты ресурса, однако моды являются неэффективными. Так же говорят, что "оттюнили" апач и iptables. Не помогало.
Сейчас видимо, атака пошла на убыль.
Хостинг мы поменяем, сейчас в поисках того, кто может предоставить адекватную защиту.

[QUOTE='anton_dr;126788']что "оттюнили" апач и iptables.[/QUOTE]
Плохо "оттюнили", хотя если бы они его настроили, всё было бы ок, но так как они его "оттюнили", то тогда всё ясно...

[QUOTE=DoSTR;126737]Сейчас форум очень притормаживает[/QUOTE]
Угу. Работать практически невозможно.:(

[QUOTE='anton_dr;126788']Так же говорят, что "оттюнили" ... iptables.[/QUOTE]
Это вроде как поставили "вероятностное" правило, которое отбрасывает 60% пакетов?

Это виртуальный сервер - на нём нет таких возможностей как на настоящем...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Плюс если у кого есть желание и опыт, я думаю, флаг вам в руки...
Потому как сначало, хостер вообще ничего делать нехотел.

Про желание и возможность. У кого есть опыт настройки апача под наши задачи?

Насколько я понимаю, никакие настройки Web сервера не спасут от массированной DDoS атаки. Успешно противостоять атаке можно только сменив хостера, на такого у которого есть аппаратная защита от таких атак.

Сейчас я направил хостеру еще одно предложение - по ограничению количества соединений с одного IP. Мы еще не теряем надежды на благополучный исход ситуации, но некоторые площадки для возможного переезда уже намечены.

А когда они это попробуют ? Просто у меня вдруг в 15:20 форум стал открываться шустро, как обычно ...

Пока еще не ответили. Я уже ничего не обещаю, дабы не сглазить. :) Скорее всего, как и в прошлые разы, нагрузка упала после временного закрытия порта 80. Я иногда прошу хостера это сделать, чтобы иметь нормальный доступ к панелям управления.

Там же есть типа стенка

Там - где? В панелях управления? Не находил :) Плохо искал? :)

Интересно чем Вызваны перерывы в атаке, работают по расписанию:?

[QUOTE=NickGolovko;126896]Там - где? В панелях управления? Не находил :) Плохо искал? :)[/QUOTE]

Панелей управления 3 штуки. В самой основной есть.

Я вот не пойму, причем тут хостер. И почему вы называете его некомпетентным. Это же ДОС-атака. Она идет с постоянно меняющихся айпи. Никакие настройки апача и защиты от атаки такого типа не спасут. Это все равно что куча народу одновременно открывает сайт virusinfo.info. Ну поменяете вы хостера - и что? Сменится только айпишник, на который хакеры переведут свои усилия.

Хостер имеет возможности противодействовать атакам. Если изо всех этих возможностей он выбирает отключение виртуалки, значит, он некомпетентен в этом вопросе.

[QUOTE='DoSTR;126900']Интересно чем Вызваны перерывы в атаке, работают по расписанию[/QUOTE]
Можно предположить, что нас досил не хозяин ботнета, а кто-то сделал заказ, на сколько оплатили, столько и досили. Видимо, тот кому мы не нравимся, не такой уж и могучий.
[QUOTE='radioelectron;127101']Я вот не пойму, причем тут хостер. И почему вы называете его некомпетентным.[/QUOTE]
Хостер действительно не виноват. Почитал бегло его сайт, нигде не сказано, что будет защита от DDoS. А стоит она наверное не дешево. :(

Любопытно, сколько стоит 1 день (досили, где-то дня 4) ДОС-атаки такого уровня (хотя бы примерно), тогда приблизительно можно сказать об уровне заказчика.

Форум это достаточно тяжелый скрипт. Завалить его не сложно. Достаточно ботнета из сотни компьютеров. Думаю имея сотню доллоров купить недетектящегося троянчика и закинуть его в осла с названием кряк для нортон 2008 и всех делов

[url]http://forum.kaspersky.com/[/url]
Уже полчаса:
[B]504 Gateway Time-out[/B]
Неужели тоже DDoS?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Однако уже работает!

Нет, просто на форуме ЛК 50 тысяч пользователей. Железо не справляется иногда.

[QUOTE=Палыч;126716]одно из двух (ИМХО):
-- либо мы уже кому-то хорошенько соли на хвост насыпали,
-- либо готовят какую-то операцию и боятся, что работа нашего форума не даст осуществить её в полном размере.[/QUOTE]

Думаю что Палыч прав!

[QUOTE=NickGolovko;126867]Сейчас я направил хостеру еще одно предложение - по ограничению количества соединений с одного IP. Мы еще не теряем надежды на благополучный исход ситуации, но некоторые площадки для возможного переезда уже намечены.[/QUOTE]

Поддерживаю! Если хостер не справляется со своими обязаннастями или не в полном объеме менять его нужно, на более надежного. Считаю что наш форум ни когда не должен тухнуть и быть максимально возможно защищен от подобного... народу то много просит помощи... если подобное будет продолжатся то люди не получат помощи во время и многие бесценные данные могут потерятся...

Купить бот-сеть не так сложно на самом деле. А заваливают не по случайному принципу, а потому что автору какого-нибудь трояна попортили жизнь, вот и срывает зло. Тот же автор Пинча наверняка имеет достаточно денег..

[QUOTE='MedvedD;128049']Тот же автор Пинча наверняка имеет достаточно денег..[/QUOTE]А смысл тратить их на нас? :) Как правило клиенты после его детища всё равно теряют пароли, помочь удаётся очень не многим.

Опять ДДОС?

Раньше при ДДОС атаке сайт пинговался, в этот раз - нет. Скорее, проблемы у хостера.

И что, кто-то предоставляет эффективную защиту от ддоса?

Из хостеров - нет. Есть специализированные конторы.
Насколько эффективную, не удалось узнать самим, но предоставляют.