Son derece düşük gelen trafik ve yüksek giden trafik için olası neden nedir?

Dün Dijital Okyanus sunucumuz bir saldırı gibi görünen bir şeyle karşılaştı. Giden trafik aniden 700Mbps'ye yükselirken, gelen trafik yaklaşık 0.1Mbps'de kaldı ve bir kez bile artmadı. Digital Ocean, DoS (makul olan) yaptığımızı varsayarak sunucumuzu ağdan kesene kadar birkaç dakika sürdü.

İki varsayım var: ya sunucumuzda saldırıya uğramış biri (saldırıdan sonra meslektaşımın SSH girişini şifre ile etkinleştirdiğini fark ettim) ya da bilmediğim bir saldırı var.

Bu durumu benim için kimse çözebilir mi? Gerçekten de trafiğin böyle göründüğü bir tür DoS varsa, lütfen beni eğitin.

Muhtemel bir olasılık, bir amplifikasyon saldırısıdır. Örneğin, açık bir özyinelemeli DNS çözümleyicisi çalıştırıyorsanız (bunu yine de yapabileceğiniz başka protokoller vardır), sahte bir IP adresi olan çok küçük bir UDP paketi alabilirsiniz. Sunucunuz daha sonra büyük bir yanıt oluşturur ve bunun meşru bir istek olduğunu düşünerek kurbana gönderir.

Başka bir olasılık, birisinin ağınızdan veri dışarı sızmasıdır. Birisi sunucunuza girdiyse ve bulabilecekleri her baytı boşaltsaydı, bu da böyle görünecektir.

Soruşturma yapmadan hangisinin olduğunu bilmenin ve ne olursa olsun kanıt kalmasını ummanın bir yolu yok. Eğer ikincisi (sızma) ise, muhtemelen izlerini ellerinden geldiğince temizlediler.

Amplifikasyon atağı olasılığına katılıyorum. Bunu yapmanın en basit yolu DigitalOcean'ın ücretsiz bulut güvenlik duvarını kullanmaktır .

Yalnızca SSH, HTTP ve HTTPS gelenlerine izin verin. Mümkünse, yalnızca güvenilir IP'lerinizden SSH'ye izin verin.

Bunu VM'nizdeki güvenlik duvarını kullanarak yapabilirsiniz, DO'nun çözümü daha kolaydır.

Digital Ocean'a sormalısın. Sadece yüksek giden trafik için sunucuları kapatmazlar: bu çoğu sunucuyu kapatır. Örneğin, popüler bir şey barındıran bir web sunucusu.

Aksine, trafiğinizin doğası kötü amaçlı göründüğü için sunucunuzu kapattılar. Bu nedenle, muhtemelen ne olduğu hakkında bir fikirleri var.

Aksi takdirde kendinizi araştırmanız gerekir. Belki de ev sahibi hala çalışıyorsa, hala Digital Ocean tarafından bırakılan trafiği göndermeye çalışıyor. Bu durumda bir paket dökümü ile gözlemleyebilirsiniz. Veya sistem günlüklerinde ipuçlarını bulabilirsiniz. Ne yazık ki bir milyon şeyden herhangi biri olabilir, bu yüzden böyle bir soruşturma olmadığı için altta yatan neden üzerine spekülasyon yapmak boşuna.