Les #botnets, le retour.
L’assaut du jour, c’était un millier d’#adresses #IP réclamant simultanément des milliers de pages. Chaque requête était identifiée d’un user-agent différent. Ce qui nous a permis, donc, de les identifier sans difficultés, et de les ajouter au #pare-feu. Ouf. On a eu de la chance.
En fin de nuit, rebelote, pendant 2 heures, saturation. Vérification de ce qu’on trouve. Plus de 4000 adresses, dans des blocs contigus, du monde entier, Singapore, US, ...
Les pays du monde entier votent des lois pour imposer l’installation d’applications gouvernementales sur les périphériques. Je serais un politicien bien malveillant comme pour ceux qu’on vote dans mon coin de Lyon, j’utiliserais ces applications pour faire des #DDOS sur les contenus qui ne me conviennent pas, afin que les IP de mon pays soient blacklistées par les administrateurs des contenus qui ne me conviennent pas. Voire, je ferais des accords avec les pays qui ont les mêmes velléités que moi, pour que ça soit plus discret.
Les #botnets...
Vous me suivez régulièrement, sur ces problématiques. Nous avons des botnets qui interrogent SeenThis avec régularité. Certains de ces botnets provoquent des montées en charge violentes, ce qui provoque, pour les utilisateurs, des indisponibilités pénibles.
J’avais remarqué, il y a quelques semaines, que les navigateurs concernés, portaient la signature « MSIE », Internet Explorer (et arrivant tous de Chine, apparemment, d’après leurs IP). Or, ce #navigateur n’est plus supposé fonctionner désormais. Aussi, j’ai implémenté une protection soulageant fortement le serveur : si le serveur web constate cette signature, il répond directement l’erreur « 444 », sans autre forme de traitement. J’ai aussi ajouté ClaudeBot et AmazonBot à ce traitement. Les autres bots sont traités par la protection de SPIP, c’est à dire que si la charge est trop élevée, ils reçoivent une erreur 429.
Jusqu’à hier, cela fonctionnait plutôt de manière satisfaisante. Mais hier, nous nous retrouvions bloqués plusieurs fois par heure, au moment de publier ou de lire.
Aussi, j’ai pris le temps d’implémenter le blocage des erreurs 444 par fail2ban. Et... depuis... la charge du serveur est normale. Epatant.
Pour expliquer : #fail2ban regarde quelles IP ont fait l’objet d’un blocage par le serveur web (l’erreur 444), et s’il y a eu plus d’un blocage, on décide de bloquer l’#IP directement dans le #pare-feu, c’est à dire qu’on refuse toute connexion. On réalise le #blocage encore plus tôt, pour encore plus soulager la machine.
Par contre, dans l’heure qui a suivi, 200 à 300 IP bloquées. Une demi-journée après, 5000 IP bloquées. Et ce matin, on en est déjà à 36928 IP bloquées !
Face à un tel afflux d’IP, fail2ban va vite être insatisfaisant, le pare-feu ne va pas pouvoir ingurgiter des IP à l’infini... mais c’est une expérience intéressante malgré tout... A suivre :-)
C’est proprement hallucinant cette vitesse d’emmerdification.
47033 IP bloquées ce soir. :-)
Face à un tel afflux d’IP, fail2ban va vite être insatisfaisant, le pare-feu ne va pas pouvoir ingurgiter des IP à l’infini...
Et en étendant le blocage au sous-réseau, genre /24 ? J’imagine que beaucoup de bots MSIE sont sur les mêmes infra...
Les /24 les plus présentes, sur les 43000 IP environ bloquées ce jour (je conserve le blocage 24 heures) :
157 112.194.192
157 114.104.135
157 117.69.191
158 114.104.134
158 121.225.84
158 183.166.137
162 117.69.159
164 117.69.190
165 112.194.194
165 183.166.170
166 183.166.136
179 175.155.3
186 175.155.2
221 125.72.106Et on décompte 3225 blocs distincts /24. Je suis en train de réclamer le décompte des « country » de chacun de ces blocs. C’est un petit peu long...
Voilà, les pays des blocs d’IP :
12 cn
2998 CN
1 FR
11 HK
8 JP
1 NL
1 PH
21 USAh, on se rapproche de 256...
215 175.155.3
216 112.194.193
216 112.194.194
216 112.194.195
226 175.155.2
248 125.72.106Depuis que j’ai augmenté la rétention des IP bloquées à 10 jours, on est monté à 75254 IP bloquées.
Je constate aussi que nous avons des surcharges différentes. Plus difficiles à bloquer, j’imagine, puisque de la part de machines qui ne se déclarent pas « MSIE ». Si je parviens à trouver qq chose, je vous tiens au courant :-))
On arrive à un palier : 75480 IP. Les bots à base de MSIE sont tous recensés. Il faudrait maintenant parvenir à bloquer les autres...
215 121.225.84
215 175.155.3
216 112.194.193
216 112.194.195
217 112.194.194
227 175.155.2
248 125.72.106Depuis ce matin, croissance à nouveau des IP bloquées : 91183.
On se rapproche des 256 IP pour certains blocs :-)
230 183.166.170
231 112.194.194
232 112.194.195
233 112.194.193
234 175.155.3
241 175.155.2
251 125.72.106Ce matin, 105414.
Explication : les PC qui font partie du botnet sont connectés à des lignes Internet dont les IP ne sont pas fixes. Quand le bail DHCP expire, l’IP change. Ce qui explique que les blocs aussi se rapprochent des 256 adresses. En somme, ce n’est pas le botnet qui grandit, ce sont les IP des connexions qui changent.
241 112.194.194
243 112.194.195
245 112.194.192
245 112.194.193
245 175.155.2
246 175.155.3
251 125.72.106Les IP s’amoncellent.
250 175.155.2
252 112.194.192
252 112.194.195
252 125.72.106
253 112.194.193
253 175.155.3
254 112.194.194Décompte IP : 131667
Blocs /24 : 4449 (soit un potentiel de 1,1 millions d’IP)
Répartition des blocs par pays :
4095 CN
45 HK
25 US
19 cn
8 DE
8 FR
8 JP
3 GB
3 TW
2 NL
2 PH
2 RO
1 AT
1 ES
1 KR
1 MA
1 PL
1 SE
1 SG
1 ZA
Une vraie galère pour pouvoir poster quelque chose hier ...
Des news. Apparemment, les chinois sont en vacances. Ou SeenThis n’est plus dans leurs objectifs.
Plus que 220 IP bloquées.
L’appartenance des blocs reste majoritairement en Chine.
1 AT
34 CN
1 DE
1 ES
3 FR
15 HK
1 JP
1 KR
3 NL
1 SG
2 TW
10 US Apparemment, les chinois sont en vacances.
Ou alors, ils en ont appris suffisamment sur nos « démocraties » ...
Se former à Tcp/Ip en environnement #Windows
▻http://www.dsfc.net/formations/formations-systeme-et-reseau/se-former-tcp-ip-environnement-windows
Au cours de ces 3 journées de formation, vous apprendrez à déployer, configurer, optimiser Tcp / Ip sur les serveurs et les stations Windows.
#Système_et_Réseau #ARP #Dns #Ethernet #Firewall #Formateur_IP #Formateur_IPv4 #Formateur_IPv6 #Formateur_Réseau #Formateur_Tcp/Ip #Formation_IPv4 #Formation_IPv6 #Formation_Réseau #Formation_Tcp/Ip #IPv4 #ipv6 #LAN #Modèle_DoD #Modèle_OSI #Pare-feu #Réseau #Routage #SSH #Subnetting #Tcp/Ip #VPN #WAN #Windows_Server #Wins
Configurer #FirewallD
▻http://www.dsfc.net/infrastructure/securite/configurer-firewalld
Firewalld est un outil rapide de configuration des règles de pare-feu sous votre distribution #Linux #Centos, #Fedora et Rad Hat.
#Sécurité #Formateur_Centos #Formateur_Fedora #Formateur_Iptables #Formateur_Linux #Formateur_Red_Hat #Formateur_Sécurité_informatique #Iptables #Pare-feu_Linux #Red_Hat #Sécurité_informatique
#Pare-feu #Linux et filtrage par process : enfin résolu !
▻http://www.dsfc.net/logiciel-libre/linux/pare-feu-linux-et-filtrage-par-process-enfin-resolu
Cela faisait 6 ans que je cherchais une solution pour le filtrage des paquets par process sur Linux. Et cette fois, ça y est !
#Cgroups #Fedora #Formateur_Fedora #Formateur_Linux #Formateur_Mint #Formateur_Ubuntu_Server #Iptables #Mint #Netfilter #Sécurité_informatique #Ubuntu_Server_LTS
#Open_Bar : Oui, #Windows est plus sûr que #Linux !
▻http://www.dsfc.net/infrastructure/securite/open-bar-oui-windows-est-plus-sur-que-linux
En l’absence de #Pare-feu digne de ce nom, il est normal, hélas, que le #Ministère_de_la_Défense continue de faire le choix de Microsoft et de Windows.
#Sécurité #Sécurité_informatique #Firewall #Formateur_Sécurité_informatique #Défense
Désactiver le #Tracking dans #Windows 10
▻http://www.dsfc.net/systemes/windows/disable-tracking-windows-10
Je ne vois pas l’intérêt pour les entreprises à quitter #Windows_7 pour se faire piller leurs données dans #Windows_10 !.
#Pare-feu #Données_personnelles #Windows_8 #Confidentialité_des_données_personnelles #Windows_8.1 #Watermark
La #Sécurité_informatique pour les nuls
▻http://www.dsfc.net/infrastructure/securite/la-securite-informatique-pour-les-nuls
La politique de sécurité ne consiste pas seulement à disposer d’un proxy et d’un #Antivirus.
#Sécurité #Anti-virus #Firewall #Formateur_Sécurité_informatique #Pare-feu
Se former à la #Sécurité_informatique
▻http://www.dsfc.net/formations/securite-informatique/formation-securite-informatique
Une formation de 4 jours pour vous former concrètement à la sécurité informatique !
#Firewall #Formation_Sécurité_informatique #Iptables #Pare-feu #Squid #SquidGuard #SSH #Terminal_Server #VPN #Windows_7
Créer une règle de #Pare-feu dans Windows
▻http://www.dsfc.net/infrastructure/securite/creer-regle-pare-feu-windows
La création de règles pour des logiciels qui utilisent le TCP est très facile à réaliser sous Windows. C’est beaucoup plus compliqué pour l’UDP.Autres lectures sur le thèmeRègles de pare-feu pour WindowsBogue sur le pare-feu de Windows 7Spam : bloquer les emails en langue arabe
#Sécurité #Firewall #Formateur_Sécurité_informatique #Pare-feu_Windows #Sécurité_informatique #Windows_10 #Windows_7 #Windows_Firewall
Règles de #Pare-feu pour #Windows
▻http://www.dsfc.net/infrastructure/securite/regles-de-pare-feu-pour-windows
L’intérêt d’une véritable formation à la #Sécurité_informatique est d’apprendre à configurer le pare-feu d’une station de travail.Autres lectures sur le thèmeTentative de connexion sur mon ordinateurLinux et ses drôles d’apôtres !Windows 10 : une mise à jour très inutile !
#Sécurité #Firewall #Formateur_Sécurité_informatique #Windows_10 #Windows_7
#Windows 10 : une mise à jour très inutile !
▻http://www.dsfc.net/systemes/windows/windows-10-une-mise-a-jour-inutile
Je ne vois pas l’intérêt pour les entreprises à quitter #Windows_7 pour #Windows_10.Autres lectures sur le thèmeRéparer votre registre Windows 7 à partir de LinuxActiver le AHCI pour disposer du hot plug eSATADémarrer Windows 10 en mode sans échec
#Linux et ses drôles d’apôtres !
▻http://www.dsfc.net/logiciel-libre/linux/linux-et-ses-droles-d-apotres
Les #Stations_de_travail sous Linux représentent 1.3% des machines utilisées. Quel succès !!!Autres lectures sur le thèmeapt-get install #Windows 7… et bonne année 2010 !Gnome a-t-il fait perdre Linux sur la #Station_de_travail ?Mémoire : Kde 4 sous Linux et Windows 7 à égalité
Sécurité #Linux : l’essentiel n’est toujours pas assuré !
▻http://www.dsfc.net/logiciel-libre/linux/securite-linux-l-essentiel-n-est-toujours-pas-assure
Cela va faire 10 ans que Linux ne permet pas de filtrer les paquets Tcp/Ip par processus ! Et tout le monde s’en fout.Autres lectures sur le thèmeLinux : une sécurité toujours aussi contestable !apt-get install #Windows 7… et bonne année 2010 !SEO : elle est où la liste des pénalités Google ?
#Douane #Fedora #Filtrage_par_processus #Firewall #FirewallD #Formateur_Sécurité_informatique #Iptables #Netfilter #Pare-feu #Sécurité_informatique
RFC 7288 : Reflections On Host Firewalls
Aujourd’hui, on met des pare-feux partout et leur présence est en général considérée, sans aucune réflexion supplémentaire, comme indispensable. Il existe des pare-feux qui se branchent sur le réseau et protègent ainsi toutes les machines du réseau (network firewall). Et il existe des pare-feux sur les machines terminales, des host firewalls, qui font l’objet de ce #RFC. En présence d’un tel pare-feu, on peut avoir une application qui tourne, et donc consomme des ressources, mais ne peut pas communiquer avec l’extérieur puisqu’elle est bloquée par le pare-feu. Le même résultat de sécurité pourrait être atteint en ne faisant pas tourner l’application, ou en la configurant pour limiter ses possibilités. Cette approche ne serait-elle pas meilleure ?
Très bon exposé expliquant pourquoi il ne faut pas mettre un serveur Internet public derrière un #pare-feu (surtout un pare-feu avec état).
L’auteur met franchement les pieds dans le plat et s’attaque à plein de légendes. L’idéologie du pare-feu, bien sûr (« In many (most ?) cases, stateful firewalls are deployed as much due to organizational silioing/politics as to lack of technical acumen. »), aux normes bureaucratiques Qualité, Sécurité, etc (PCI-DSS, ISO 2700x), à l’accumulation d’engins avec état qui fragilisent l’Internet. Un excellent réveil !
Je ne comprends pas trop ce qu’il propose : mettre des reverse-proxies (agissant au niveau 7) mais les protéger contre une attaques DDOS (p.28).
Au final, il dit exactement la même chose que pour un pare-feu à état, un boîtier de répartition de charge ou une passerelle NAT : les protéger contre une attaques DDOS (p.18, p.19, p.26).
Je ne suis pas spécialiste mais j’ai l’impression qu’il ne fait que déplacer le problème.
