Hoher incomming traffic -> ddos? (Pakete analysieren)

T

tavid

New Member
Hallo,
ich habe seit gestern Nachmittag sehr hohen eingehenden Datenverkehr.
Aktuell: 8 GB/h incomming vs. 2 GB/h out
Normal ca. 0.3 GB/h incomming vs. 1.5 GB/h out.

Ich habe mal für 100k Pakete einen TCPdump gemacht, und jetzt schaue ich mir das in Wireshark an.
Allerdings habe ich leider keine Erfahrung damit und weiß nicht wo ich ansetzen soll um den Grund des hohen traffics zu finden.

Z.B. kommen exemplarisch ca. 500 Pakete/Sekunde wie folgende von der gleichen IP:
162.*.*.* 88.*.*.* TCP 1514 [TCP Out-Of-Order] 4200 > 59227 [ACK] Seq=1647047 Ack=83201 Win=163 Len=1436 TSval=883081224 TSecr=719508677 SLE=84560 SRE=86008

Kann mir vielleicht jemand weiterhelfen, wo ich ansetzen soll um die Ursache zu finden?

1000 Dank!
 
Mit iptraf kannst du recht einfach ermitteln welche IP's/Dienste den Traffic verursachen.
 
Last edited by a moderator:
Capture am Besten mal so 10-15 Sekunden lang vollständige Pakete in eine Datei (-s 0 -w filename.cap) und zieh dir die Datei in Wireshark - dann kann man nachträglich besser verschiedene Filter anwenden ;)

Ein Ansatz wäre z.B. ein Filter auf den Destination- oder Source-Port - um herauszufinden, ob es der immer gleiche ist.
Ansonsten könntest du ggf. sehen, WAS in den Paketen ist - vielleicht wird es dadurch klarer...
Im Zweifel kannst du mir die Datei auch gerne per PM zukommen lassen, dann schaue ich mal, ob sich daraus was erkennen lässt.
 
500 Pakete pro Sekunde ist kein DDoS, das fällt ggf. noch unter DoS (slowloris).

Meinst du ggf. 500kpps (500k Pakete pro Sekunde)?
 
You must log in or register to reply here.
Back
Top