Jak analizować ruch na VPS

[elocotam]

Witam chciałbym się dowiedzieć jak sprawdzić pakiety na vpsie, adresy ip które ddosują maszynę w trakcie ataku, i jak wykonać ddosdumpa bo to on pomaga w sprawdzaniu tego.

Dokładniej to chce sie dowiedziec jak sprawdzic adresy ip ktore biją w moją maszyne a potem je wyciąć w iptables, jest jakiś skrypt na to?

[Gość]

Podczas ataku w konsoli wywołaj to polecenie, a następnie przeprowadź analize próbki ruchu sieciowego pliku log.pcap zapisanego w katalogu gdzie wykonałeś polecenie.

Możesz przejrzeć dane próbki za pomocą programu np. wireshark

 

KOMENDA:

tcpdump -n -c 5000 -w log.pcap 'not port 22 and not arp'

[elocotam]

@Eterprime

 

Dzięki o to chodziło!

[h04x]

Witam chciałbym się dowiedzieć jak sprawdzić pakiety na vpsie, adresy ip które ddosują maszynę w trakcie ataku, i jak wykonać ddosdumpa bo to on pomaga w sprawdzaniu tego.

Dokładniej to chce sie dowiedziec jak sprawdzic adresy ip ktore biją w moją maszyne a potem je wyciąć w iptables, jest jakiś skrypt na to?

// Zależne od interfejsu sieciowego //
tcpdump -nnpvvi eth0 -w capture.cap -c 10000
tcpdump -nnpvvi venet0 -w capture.cap -c 10000

Drogi elocotam,

 

Na poziomie serwera vps i firewalla w formie software nic nie zdziałasz. Twój dostawca usługi musi mieć dobrą infrastrukturę, która pozwoli mu na filtrowanie ataków bez uszczerbku dla twojej aplikacji. Jeżeli potrzebujesz pomocy to zapraszam serdecznie do kontaktu ze mną na prywatnej wiadomości. Postaram Ci się pomóc.

 

Z poważaniem,

h04x

[elocotam]

Jeśli byłby atak ddos, i przez tcptumpa widziałbym adresy które mnie atakują to jakie mam wyciąć tam gdzie time jest wysoki czy length info? https://scr.hu/Kpa1G7 https://scr.hu/7dZa4A 

[h04x]

Jeśli byłby atak ddos, i przez tcptumpa widziałbym adresy które mnie atakują to jakie mam wyciąć tam gdzie time jest wysoki czy length info? https://scr.hu/Kpa1G7 https://scr.hu/7dZa4A 

iptables -A PREROUTING -t raw -p udp --dport 9987 -m length --length 0:32 -j DROP
iptables -A PREROUTING -t raw -p udp --dport 9987 -m length --length 2521:65535 -j DROP

[RCI]

Tutaj masz owszem poradnik do analizy ataków i ich ograniczenie.

http://www.mpcforum.pl/topic/1493765-analiza-ataków-oraz-ich-ograniczenie/#entry12650540

[Poker Face.]

 

Podczas ataku w konsoli wywołaj to polecenie, a następnie przeprowadź analize próbki ruchu sieciowego pliku log.pcap zapisanego w katalogu gdzie wykonałeś polecenie.

Możesz przejrzeć dane próbki za pomocą programu np. wireshark

 

KOMENDA:

tcpdump -n -c 5000 -w log.pcap 'not port 22 and not arp'

Komenda zupełnie bez sensu skopiowane prosto ze strony HosTeamu

nie rozumiem dlaczego ignorujecie nasłuchiwanie na porcie 22 ktoś ci zacznie walić w ten port i nic Ci się nie zapisze