Aiuto (vps, attacco slowhttp?)

[Sunchaser]

Il server che ospita il mio gioco non funziona più tutto ad un tratto. La macchina è scarica ma apache sembra non rispondere, anche dopo un restart.

Facendo netstat -a noto la seguente cosa:

Mi stanno facendo un attacco DOS? Che posso fare? Aiuto!


tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:43686 ESTABLISHED
tcp 13 0 medieval-europe.eu:http tor20.anonymizer.ccc.:39832 ESTABLISHED
tcp 12 0 medieval-europe.eu:http tor20.anonymizer.ccc.:28819 ESTABLISHED
tcp 13 0 medieval-europe.eu:http tor20.anonymizer.ccc.:16777 ESTABLISHED
tcp 16 0 medieval-europe.eu:http tor20.anonymizer.ccc.:30594 ESTABLISHED
tcp 11 0 medieval-europe.eu:http tor20.anonymizer.ccc.:15234 ESTABLISHED
tcp 705 0 medieval-europe.eu:http 151.95.165.188:23024 ESTABLISHED
tcp 1 0 medieval-europe.eu:http 201-34-95-194.jvece70:61966 CLOSE_WAIT
tcp 1 0 medieval-europe.eu:http 201-34-95-194.jvece70:61967 CLOSE_WAIT
tcp 10 0 medieval-europe.eu:http tor20.anonymizer.ccc.d:6386 ESTABLISHED
tcp 774 0 medieval-europe.eu:http cpe-173-89-198-121.in:50109 ESTABLISHED
tcp 17 0 medieval-europe.eu:http tor20.anonymizer.ccc.:61423 ESTABLISHED
tcp 10 0 medieval-europe.eu:http tor20.anonymizer.ccc.:15855 ESTABLISHED
tcp 6 0 medieval-europe.eu:http tor20.anonymizer.ccc.:40174 ESTABLISHED
tcp 724 0 medieval-europe.eu:http 201-34-95-194.jvece70:61970 ESTABLISHED
tcp 1 0 medieval-europe.eu:http 201-34-95-194.jvece70:61971 CLOSE_WAIT
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:16345 ESTABLISHED
tcp 1 0 medieval-europe.eu:http 151.95.165.188:23004 CLOSE_WAIT
tcp 9 0 medieval-europe.eu:http tor20.anonymizer.ccc.:14541 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:55503 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:11324 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:56886 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:56872 ESTABLISHED
tcp 19 0 medieval-europe.eu:http tor20.anonymizer.ccc.:56619 ESTABLISHED
tcp 19 0 medieval-europe.eu:http tor20.anonymizer.ccc.:26661 ESTABLISHED
tcp 14 0 medieval-europe.eu:http tor20.anonymizer.ccc.:11044 ESTABLISHED
tcp 18 0 medieval-europe.eu:http tor20.anonymizer.ccc.:46107 ESTABLISHED
tcp 1 0 medieval-europe.eu:http tor20.anonymizer.ccc.:46363 ESTABLISHED
tcp 6 0 medieval-europe.eu:http tor20.anonymizer.ccc.:54047 ESTABLISHED
tcp 4 0 medieval-europe.eu:http tor20.anonymizer.ccc.:23313 ESTABLISHED
tcp 1232 0 medieval-europe.eu:http 101.118.30.213.rev.vo:57261 CLOSE_WAIT
tcp 932 0 medieval-europe.eu:http ip68-14-185-22.pn.at.:65029 CLOSE_WAIT
tcp 24 0 medieval-europe.eu:http tor20.anonymizer.ccc.:24079 ESTABLISHED
tcp 23 0 medieval-europe.eu:http tor20.anonymizer.ccc.:62478 ESTABLISHED
tcp 20 0 medieval-europe.eu:http tor20.anonymizer.ccc.:13573 ESTABLISHED
tcp 21 0 medieval-europe.eu:http tor20.anonymizer.ccc.:49023 ESTABLISHED
tcp 8 0 medieval-europe.eu:http tor20.anonymizer.ccc.:24689 ESTABLISHED
tcp 22 0 medieval-europe.eu:http tor20.anonymizer.ccc.:31094 ESTABLISHED
tcp 732 0 medieval-europe.eu:http 164.83.70.115.static.:51862 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:22890 ESTABLISHED
tcp 3 0 medieval-europe.eu:http tor20.anonymizer.ccc.:17519 ESTABLISHED
tcp 12 0 medieval-europe.eu:http tor20.anonymizer.ccc.:34415 ESTABLISHED
tcp 6 0 medieval-europe.eu:http tor20.anonymizer.ccc.:31086 ESTABLISHED
tcp 7 0 medieval-europe.eu:http tor20.anonymizer.ccc.d:4707 ESTABLISHED
tcp 571 0 medieval-europe.eu:http host40-61-dynamic.246:ewall ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymizer.ccc.:28516 ESTABLISHED
tcp 9 0 medieval-europe.eu:http tor20.anonymizer.ccc.:10599 ESTABLISHED
tcp 2 0 medieval-europe.eu:http tor20.anonymizer.ccc.:13404 ESTABLISHED
tcp 15 0 medieval-europe.eu:http tor20.anonymizer.ccc.:45648 ESTABLISHED
tcp 8 0 medieval-europe.eu:http tor20.anonymizer.ccc.:17746 ESTABLISHED
tcp 0 0 medieval-europe.eu:http tor20.anonymiz:ovsessionmgr ESTABLISHED
tcp 24 0 medieval-europe.eu:http tor20.anonymizer.ccc.:59476 ESTABLISHED
tcp 1232 0 medieval-europe.eu:http 69.118.30.213.rev.vod:50122 CLOSE_WAIT
tcp 11 0 medieval-europe.eu:http tor20.anonymizer.ccc.:52822 ESTABLISHED
tcp 4 0 medieval-europe.eu:http tor20.anonymizer.ccc.:14411 ESTABLISHED
tcp 2 0 medieval-europe.eu:http tor20.anonymizer.ccc.d:5952 ESTABLISHED
tcp 16 0 medieval-europe.eu:http tor20.anonymize:ariliamulti ESTABLISHED
tcp 23 0 medieval-europe.eu:http tor20.anonymizer.ccc.d:2375 ESTABLISHED
tcp 3 0 medieval-europe.eu:http tor20.anonymizer.ccc.:49479 ESTABLISHED

[CoolNetwork]

filtra l'ip da dove arrivano tutte queste connessioni
sicuramente è un attacco di tipo slowhttp

[Uno]

Sunchaser ti invito a usare titoli più descrittivi, non è la prima volta che ne metti uno che non aiuterà la ricerca di chi in futuro potrebbe avere lo stesso problema. Grazie

[GrG]

Concordo, sega l'host http da cui arrivano, è unico...

[Sunchaser]

Grazie dell' aiuto.

Come faccio a filtrare l'host? tramite .htaccess? o tramite il pannello plesk?

@ Uno, scusa, ero in panico, come faccio ad editare il subject? non trovo il comando...

[CoolNetwork]

Contatta l'assistenza del tuo Provider se non sei capace di eseguire questa operazione

[Sunchaser]

Putroppo non ho un server comanaged, proverò con i ticket; intanto ho inserito la direttiva deny nell .htaccess

Grazie mille

[GrG]

Tocca far la solita domanda: come mainse non sei in grado di settare una regola base iptables hai in mano un server?

[Sunchaser]

Tocca far la solita domanda: come mainse non sei in grado di settare una regola base iptables hai in mano un server?

Perchè sono uno sviluppatore & designer e non un sistemista, i servizi managed/comanaged non me li posso permettere (ancora), e non posso certo far girare un gioco su un hosting da 25 euro all' anno...

Sarei ben lieto di delegare la parte sistemistica, ma ho riserve nel dare accesso alla macchina perchè non vorrei che i sorgenti fossero copiati.

[GrG]

Ci sono hosting anche di fascia alta che permettono di coprire tutti gli step intermedi tra l'hosting lowcost e il server dedicato base.

Del resto immagino che, non essendo un gioco che può stare su un lowcost, ci si possano permettere megadown dovuti a dei semplici http flooding (nemmeno distribuiti, peraltro) o i classici tre giorni di down da server rooted.

[Sunchaser]

Ci sono hosting anche di fascia alta che permettono di coprire tutti gli step intermedi tra l'hosting lowcost e il server dedicato base.

Del resto immagino che, non essendo un gioco che può stare su un lowcost, ci si possano permettere megadown dovuti a dei semplici http flooding (nemmeno distribuiti, peraltro) o i classici tre giorni di down da server rooted.

In effetti hai ragione, ma putroppo bisogna fare i conti anche con i costi fissi; Diciamo che il megadown non è che mi piace ma non è un disastro dal punto di vista economico, non che poi incassiamo poi queste cifre, è che questo attacco non mi è piaciuto. Poi c'è il fatto che ho aperto il ticket alla mezzanotte di ieri e non ho ricevuto ancora risposta, non mi sembra il caso di poter impostare qualcosa di serio con il corrente hosting.

E' possibile avere in privato un' indicazione di questi hosting di cui parli per cortesia? Forse è il caso che cominci a fare un po' di scouting...

grazie mille

[GrG]

Ma anche in pubblico, quando si parla di hosting di fascia alta di solito vengono fuori flamenetworks.com, netsons.com e web4web.it (nei loro piani di fascia alta ovviamente), e soluzioni come seeweb.it cloud.

Per applicazioni di livello puoi anche considerare, secondo me, mediatemple.com e enginehosting.com. C'è gente che riporta buoni risultati anche con il piano OVH.it di fascia alta (che costa all'incirca come tutti gli altri semidedicati base).

Oltre che coi down dovresti prepararti a fare i conti con tutta un'altra serie di problemi, capisco i problemi di budget per un dedicato managed, ma l'alternativa ad un dedicato managed è uno shared di livello più o meno alto, non un dedicato e basta. Non oso immaginare quanti siano i doppi quadcore con 16 GB di ram non managed che ci sono in giro sostituibili con una VPS da 512 MB gestita da qualcuno che sappia almeno fare un'ottimizzazione di base.

[Sunchaser]

Dunque noi abbiamo un vps pro di Aruba (35 euro/mese).

I prezzi di aruba per il managed sono decisamente fuori dal budget (150 euro/mese in aggiunta ad un dedicato, che di fascia base è 50 euro/mese)... totale 200 euro.

Facendo una veloce ricerca sui siti che mi hai detto sembra si possa prendere un VPS managed con 72 euro/mese ( per quello che pare servire a noi... )

- Seeweb.it sembra non supportare mysql
- Web4web.it pare non fornire servizi managed

Che dire, parlerò con il socio...

Dici che l' alternativa ad un dedicato managed è un buon shared di livello alto, ho alcune domande:

Shared = VPS?
Cosa significa di livello alto? Intendi tipo questo profilo?:
FlameNetworks

Grazie

[Sunchaser]

A parte configurare la iptable (se l' attacker usa un altro IP o server mi sembra inutile) ho letto in giro che si potrebbero configurare delle regole nel mod_security o installare mod_antiloris.

[Alex]

iptables puoi configurando limitando le connessioni da singola ip o da singola classe tanto per iniziare, inoltre c'è mod-connectionlimit, insomma è un problema basilare che puoi risolvere in mille modi a seconda della tua necessità che sta a te valutare