PROTEÇÃO FIREWALL

[joaotrd]

Olá,

 

Eu possuo um dedicado da OVH, e tenho alguns IP's, gostaria de saber como descobrir o IP de quem ta me atacando, pois a OVH não informa, ela só informa que o determinado IP está recebendo ataque !

 

Atenciosamente,

 

João Vitor

[absamhost]

Se for uma botnet, é impossível.

[olokz]

@joaotrd USE ISSO EM LINUX.

use sudo tcpdump -i {interfaceaverificar} -n -c 5000 dst {seuip/ipquerecebeataquenosv} > /root/ataque.txt

ele vai criar um arquivo com 5k de entrada, dai você analisa. Outra alternativa é o ntop, com ele você consegue verificar em tempo real o trafego do servidor.

[joaotrd]

1 hora atrás, olokz disse:

@joaotrd USE ISSO EM LINUX.

use sudo tcpdump -i {interfaceaverificar} -n -c 5000 dst {seuip/ipquerecebeataquenosv} > /root/ataque.txt

ele vai criar um arquivo com 5k de entrada, dai você analisa. Outra alternativa é o ntop, com ele você consegue verificar em tempo real o trafego do servidor.

Que Ips são esses ? Não entendi muito bem !

[olokz]

os ips que estão alocados em seu servidor.

[aldemaroc]

1 hora atrás, olokz disse:

@joaotrd USE ISSO EM LINUX.

use sudo tcpdump -i {interfaceaverificar} -n -c 5000 dst {seuip/ipquerecebeataquenosv} > /root/ataque.txt

ele vai criar um arquivo com 5k de entrada, dai você analisa. Outra alternativa é o ntop, com ele você consegue verificar em tempo real o trafego do servidor.

Em um ataque DDoS seria interessante monitorar também os pacotes UDP já que boa parte dos ataques é em UDP. Vale lembrar que os ataques em UDP podem se utilizar de técnicas de IP Spoofing.

Supondo que você use iptables como seu firewall, basta registrar todos os pacotes UDP com o seguinte comando:

iptables -A INPUT -p udp -j LOG --log-level info --log-prefix "Pacote UDP: "

Ele irá escrever detalhes de cada pacote UDP para /var/log/messages. CUIDADO! Pois se o ataque realmente estiver chegando ao seu servidor e forem muitos pacotes, você terá um arquivo bastante grande rapidamente. Já dei vacilo de esquecer no firewall e ter 10GB de logs em pouco tempo. Você também pode ver os últimos registros com o comando "dmesg"

Depois de alguns segundos (ou minutos se você quiser mais detalhes) basta retirar a regra do iptables:

iptables -D INPUT -p udp -j LOG --log-level info --log-prefix "Pacote UDP: "

 

Note que isso só é eficiente se o ataque estiver realmente chegando ao seu servidor. Se ele estiver sendo mitigando e seu servidor apenas estiver recebendo tráfego legítimo, você não terá listado os IPs do ataques. No caso de você ter alguma proteção DDoS que filtre os ataques, você apenas terá informação dos IPs se solicitar a empresa que oferece o serviço.