Bei DDOS IP changen

[mtxkl]

Hallo,
ich hätte da mal eine Frage.
Beispiel:
Server IP nr1 wird geddosst.
Dies erkennt der Server und springt auf IP Nr2. um usw.
Wie geht so etwas?
Per Script?

Danke im voraus!

 

[cosimo.de]

Hallo,

Was soll das Ziel der Aktion sein?

Ein DDoS geht häufig gegen eine Domain. Sobald du die neue IP des Servers ins DNS einträgst wird dir auch die DDoS folgen ...

 

[IP-Projects.de]

Dem Server mehrere IP Adressen zuweisen. Dann kann der Router IP-Adressen, die attakiert werden abschalten.

 

[M-X]

Wenn der DDOS auf die Domain geht wird das aber nicht viel bringen.

 

[daemotron]

Server IP nr1 wird geddosst.
Dies erkennt der Server und springt auf IP Nr2. um usw.

Ob das überhaupt sinnvoll ist, hängt von der Art des (D)DoS ab. Je nachdem was das Ziel des Angreifers ist (sprich: auf welchem Layer er eine Blockade zu erreichen versucht), kann die Maßnahme mäßig bis gar nicht wirken.

Bei einem klassischen DDoS auf Layer 3 bringt es nichts, wenn der Server die IP wechselt - der davor liegende Router muss aufhören, den Traffic an das NIC des Servers zu routen. Tut er das weiterhin, auch wenn der Server nicht mehr "zuständig" sein will, laufen die Pakete trotzdem erst mal im IP-Stack des Kernels auf. Damit hat der Angreifer sein Ziel erreicht.

Werden sie dort verworfen, hilft das allenfalls bei DDoS gegen eine höhere Protokoll-Ebene, z. B. ein Slowloris-Angriff kann so wirksam unterbunden werden, da dabei gar nicht so viele Pakete über die Leitung gehen und nur der Dienst auf Ebene des Anwendungsprotokolls blockiert wird.

Wie geht so etwas?
Per Script?

Hängt wieder von der Art des Angriffs ab. Wie stellst Du denn einen DDoS auf Deinen Server fest? Für Angriffe auf Ebene des Anwendungsprotokolls braucht's dazu einen Detektor, der auch auf dieser Ebene unterwegs ist (Proxy mit geeigneten IDS-Mechanismen). Für einzelne Anwendungen gibt es auch entsprechende Module bzw. andere Bestandteile, die solche DoS-Angriffe erkennen und die Verbindung dann terminieren. Ein IP-Wechsel ist so gar nicht nötig.

Einen Sturm sinnloser IP-Pakete kann man hingegen nur sehr schwer auf Anwendungsebene feststellen; dazu muss man mit entsprechenden Hooks an den IP-Stack ran. Bei Linux wäre netfilter eine Möglichkeit, aber das allein reicht noch nicht - man muss die aufschlagenden Pakete auch mit den höheren Layern korrelieren, um auszuschließen, dass man legitime Anfragen rausbolzt.

Wirklich etwas dagegen tun kann man eigentlich nur am Router, aber automatisiert kann man solche Angriffe so gut wie nicht erkennen. An echten Beispielen aus der Vergangenheit (wie z. B. die massierten Angriffe gegen die Schlundtech-Infrastruktur) kann man auch sehen, dass eine automatische Erkennung und Reaktion kaum möglich ist. Es hat bei beiden Angriffen jeweils mehrere Tage gedauert, bis Regelsätze für die Router entworfen waren, die den DoS wirklich unterbunden haben.