Identificare un attacco DDOS non è mai semplice e proprio per questo motivo abbiamo deciso di realizzare questa guida che consente in pochi semplici passaggi di scoprire tramite il comando Netstat se siamo sotto un attacco DDOS e come è possibile bloccarlo.

Il primo passo da fare è aprire il terminale tramite SSH e digitare il comando:

netstat -anp | grep ‘tcp\|udp’ | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n

In questo modo verranno elencate tutte le connessioni divise per indirizzo IP. Da questo è possibile scoprire quale IP sta facendo un attacco DDOS al nostro Server.

Altri comandi sono:

netstat -na
Questo mostra tutte le connessioni Internet attive al server e sono incluse solo le connessioni stabilite.

netstat -an | grep :80 | sort
Mostra solo le connessioni Internet attive al server sulla porta 80, questa è la porta http e quindi è utile se si dispone di un server web, e ordina i risultati. Utile per individuare un unico flood, consentendo di riconoscere molte connessioni provenienti da un IP.

netstat -n -p|grep SYN_REC | wc -l
Questo comando è utile per scoprire quanti SYNC_REC attivi ci sono sul server. Il numero dovrebbe essere abbastanza basso, preferibilmente meno di 5. Durante gli incidenti o un attacco DoS o bombe di posta elettronica, il numero può diventare piuttosto alto. Tuttavia, il valore dipende sempre dal sistema, quindi un valore elevato può essere la normalità su un server.

netstat -n -p | grep SYN_REC | sort -u
Elenca tutti gli indirizzi IP coinvolti invece di contarli.

netstat -n -p | grep SYN_REC | awk ‘{print $5}’ | awk -F: ‘{print $1}’
Elenca tutti gli indirizzi IP univoci del nodo che stanno trasmettendo lo stato della connessione SYN_REC.

netstat -ntu | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n
Utilizza il comando netstat per calcolare e conta il numero di connessioni al server per ogni indirizzo IP.

netstat -anp |grep ‘tcp|udp’ | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n
Elenca il conto del numero di connessioni per gli IP sono collegati al server tramite protocollo TCP o UDP.

netstat -ntu | grep ESTAB | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -nr
Controlla le connessioni stabilite invece di tutti i collegamenti, e visualizza contando le connessioni per ogni IP.

netstat -plan|grep :80|awk {‘print $5’}|cut -d: -f 1|sort|uniq -c|sort -nk 1
Mostra ed elenco gli indirizzi IP ed il numero di connessione che si collegano alla porta 80 del server. La porta 80 è utilizzata principalmente dalle richieste HTTP di una pagina web.

The post Come identificare un attacco DDOS sul proprio server appeared first on TecnoGuide.

Quando un hacker vuole paralizzare un sito web, di solito sfrutta il metodo Denial of Service che prevede l’invio massiccio di richieste all’indirizzo lp della vittima per sovraccaricare il sito. Da tempo ormai la cybercriminalità utilizza le botnet per i cosiddetti attacchi di tipo DDoS (Distributed Denial of Service). l principali siti web come quelli di Microsoft, Google & Co. finora non si sono mai fatti trovare impreparati, tuttavia una nuova variante DoS potrebbe diventare un pericolo anche per i giganti del web.

Gli hacker per i grandi attacchi si servono del Network Time Protocol (Ntp), un protocollo solitamente usato per sincronizzare gli orologi dei computer. Gli aggressori sfruttano soprattutto una vulnerabilità dell’Ntp: inviano una massiccia quantità di richieste ai server Ntp sparsi nel mondo impostando come mittente l’indirizzo lp della vittima. Il server Ntp risponde e il gioco è fatto: basta una richiesta di appena 8 byte per attivare un codice risposta di 468 byte, 58 volte maggiore.

Gli hacker, con il minimo sforzo, creano una tempesta DoS di oltre 100 Gbit/s. A gennaio, per esempio, è stato disattivato il sito di giochi online League of Legends ed è stato solo l’inizio. Secondo il servizio anti-DoS, Black Lotus, attualmente un attacco di media intensità utilizza già 7,3 Gbit/s, il triplo della larghezza di banda dell’attacco messo in atto a dicembre 2013.

The post Server Ntp: ecco un attacco ancora più potente del DDos appeared first on TecnoGuide.