Para empezar veamos ¿Qué es un ataque DDoS?, también conocido como "Ataque de Negación de servicio distribuido" es un tipo especial de DoS de manera conjunta y coordinada entre varios equipos.
Estos ataques consiguen el objetivo de tumbar la máquina víctima agotando el ancho de banda o sobrepasando la capacidad de procesamiento. Para terminar de familiarizarnos con esos términos decir que a las máquinas encargadas de realizar el ataque se les denomina "Zombie" y al conjunto total botnet.
Detectar Ataque DDoS
Mis conocimientos sobre el tema son bastante limitados pero de lo que sí estoy seguro es que muchas veces algunos administradores confunden un ataque DDoS con alguna anomalía de la red o el servidor, para asegurarnos de que estamos ante un ataque DDoS tenemos que tener una cantidad de procesos httpd, eximd, ftpd, etc, estos suelen ser los objetivos comunes a estos ataques y los que consiguen generar la carga suficiente para colapsar el sistema por falta de recursos.
Si tenemos dudas sobre el tema y no tenemos los conocimientos necesarios os recomiendo la lectura de este post, voy a tratar de simplificar la explicación al máximo a modo de orientación para aquellos usuarios que necesiten una respuesta rápida a la pregunta ¿Estoy sufriendo un ataque DDoS?
Como hemos comentado anteriormente tenemos que ver cuantas conexiones tenemos por IP y el servicio a los que se conectan estas conexiones dentro de nuestro servidor, de este modo podremos quitarnos las dudas de si realmente se trata de un ataque DDoS.
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr
netstat -np | grep SYN_RECV | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1
| sort -n | uniq -c | sort -n
Si estuvieramos ante un ataque y teniendo como ejemplo los siguientes datos obtendríamos un listado parecido al siguiente:
IP Servidor: 192.168.0.3 IP
Atacante: 192.168.0.5
tcp 0 0 192.168.0.3:80 192.168.0.5:60808 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60761 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60876 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60946 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60763 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60955 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60765 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60961 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60923 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:61336 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:61011 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60911 SYN_RECV tcp 0 0 192.168.0.3:80 192.168.0.5:60758 SYN_RECV
Parar ataque DDoS
Supongamos que estamos ante un ataque y como es lógico ahora lo que necesitamos es pararlo... para ello os recomiendo acudir a sitios que documentan los pasos necesarios para detener un Ataque DDoS:
A todos nos gustaría poder asegurar nuestra información de manera que el acceso a ella sea totalmente privado, y que ningún desconocido pueda acceder a ella, probablemente ninguno de los que lean esto, tenga los medios necesarios para crear un lugar seguro donde alojar y salvaguaradar esta información con un servidor independiente, pues esta lista de software puede que sirva de ayuda;
Comentarios
hace 3 horas 1 min
hace 4 horas 36 mins
hace 4 horas 43 mins
hace 9 horas 59 mins
hace 16 horas 22 mins
hace 16 horas 50 mins
hace 17 horas 57 mins
hace 1 día 6 mins
hace 1 día 7 mins
hace 1 día 27 mins