Gestione degli attacchi di riflessione NTP nelle tabelle IP

Abbiamo a che fare con un attacco di riflessione / amplificazione NTP sui nostri server associati. Questa domanda è specifica per rispondere agli attacchi di riflessione NTP e non è diretta a DDoS in generale.

Ecco il traffico:

Sta sfornando un po 'di CPU sul nostro router:

Sfortunatamente non è abbastanza grande da indurre il nostro fornitore a monte a oscurare il traffico, il che significa che ci passa attraverso.

Abbiamo utilizzato la seguente regola per bloccare il traffico NTP, che ha origine sulla porta 123:

-p udp --sport 123 -j DROP

Questa è la prima regola in IPTables.

Ho cercato molto e non riesco a trovare molte informazioni su come utilizzare le tabelle IPT per mitigare un attacco di riflessione NTP. E alcune delle informazioni là fuori sembrano completamente errate. Questa regola IPTables è corretta? C'è qualcos'altro che possiamo aggiungere o fare per mitigare un attacco di riflessione / amplificazione NTP oltre a contattare il nostro fornitore di rete upstream?

Inoltre: dal momento che questi aggressori devono utilizzare reti che

• consentire lo spoofing dell'indirizzo IP nei pacchetti
• hanno un codice NTP del 2010 senza patch

esiste una stanza di compensazione globale a cui possiamo segnalare questi indirizzi IP, in modo che vengano riparati per interrompere il rilascio di pacchetti contraffatti e applicare patch ai loro server NTP?

In sostanza, sei sfortunato se l'attacco DDoS riesce a riempire qualunque pipe tu abbia su Internet (che è lo scopo di qualsiasi attacco di riflessione UDP - riempire la pipe). Se il tuo collegamento a monte può richiedere 1 Gbps di traffico e ci sono (diciamo) 2 Gbps di traffico totale per scendere il collegamento, allora metà di esso verrà eliminata dal router o switch che sta mettendo i pacchetti giù nel collegamento. L'attaccante non si preoccupa del fatto che metà del traffico degli attacchi venga eliminato, ma i tuoi clienti lo fanno: la perdita del pacchetto del 50% in una connessione TCP farà cose terribili e terribili per le prestazioni e l'affidabilità di tali connessioni.

Ci sono solo due e tre modi per fermare un attacco DDoS volumetrico:

1. Avere una pipa abbastanza grande da non riempire il traffico di attacco.
2. Fermare i pacchetti di attacco prima che finiscano nel tubo.
3. Passa a un indirizzo IP diverso che non sia sotto attacco di riflessione NTP.

Bloccarli in iptables non farà squat, perché a quel punto il traffico di attacco ha già spremuto il traffico legittimo e fatto cadere a terra, quindi l'attaccante ha vinto. Dato che (presumibilmente) non controlli il router a monte o lo switch che sta inoltrando il traffico di attacco, sì, dovrai metterti in contatto con il tuo provider di rete a monte e fare in modo che impedisca al traffico di attacco di raggiungere la tua rete link, sia esso

• bloccare tutto il traffico sulla porta di attacco (non qualcosa che la maggior parte degli ISP è disposto a fare sui propri router di accesso al cliente colo, per $REASONS)

• filtrare gli indirizzi IP di origine dell'attacco (più plausibile, con S / RTBH, ma non qualcosa che tutti i provider hanno già disponibile)

• nel peggiore dei casi, buca nera l'indirizzo IP di destinazione

Nota che il blackholing dell'IP funziona solo se hai altri indirizzi IP che possono continuare a funzionare - se il tuo provider blackhole il tuo unico indirizzo IP, l'attaccante ha avuto successo perché sei fuori da Internet, che è quello che stavano cercando di ottenere innanzitutto.

Presumo che tu abbia una pipe al tuo ISP che termina sul tuo router / firewall. Quindi dietro quel router / firewall hai le tue macchine. L'ISP non bloccherà il traffico, quindi dovrai affrontarlo da solo. Si desidera bloccare il traffico sul router / firewall per impedire che colpisca le macchine dietro di esso riducendo al minimo il carico sul router / firewall.

La tua regola sembra giusta per eliminare tutto ciò che proviene da un server ntp sulla porta standard. Ricorda che se usi effettivamente ntp potresti dover creare buchi nelle regole del firewall

Se il firewall utilizza il tracciamento della connessione (la maggior parte lo fa), è possibile che si desideri utilizzare la tabella "raw" per eliminare i pacchetti prima che raggiungano il macchinario di tracciamento della connessione.

iptables -t raw -A PREROUTING -p udp --sport 123 -j DROP

Sembra che possiamo segnalare gli IP per abuso di NTP (e, si spera, patching NTP) a

http://openntpproject.org/

Per quanto riguarda le reti di reporting che consentono IP falsificati, non riesco a trovare molto :

Le nostre misurazioni mostrano che lo spoofing è ancora prevalente tra circa il 25% dei sistemi autonomi e netblock che esaminiamo. Ancora più importante, un unico punto di ingresso per il traffico contraffatto fornisce agli aggressori un mezzo per inviare traffico contraffatto a tutta Internet. Gli ISP possono utilizzare il filtro [RFC2827] per garantire che il loro traffico in uscita non sia falsificato.

Forse l'unico metodo è contattare direttamente l'ISP?