Журнал Андрея Мальгина - Комментарий ко вчерашней атаке на ЖЖ

[Recent Entries][Archive][Friends][User Info]

March 31st, 2011
10:52 am

[Link]

Previous Entry Add to Memories Tell A Friend Next Entry
Комментарий ко вчерашней атаке на ЖЖ
СУПовец [info]igrick@lj, наконец, внятно и доходчиво объяснил, что происходило вчера.

DDoS начался приблизительно в 16:00 по Москве (около 12:00 UTC), восстановить приемлемую работоспособность, т.е. справиться с проблемой, мы смогли примерно через 7 часов, а сама атака завершилась значительно позже, уже глубокой ночью по Москве;

Load Balancer (система, отвечающая за распределение входящей нагрузки) испытывала около 1.2 миллиона одновременных соединений при нашей средневзвешенной норме в 50 000;

ЖЖ отдавал 2 Гбита трафика в секунду при средневзвешенной норме в 400 Мбит;

ЖЖ обслуживал в десятки раз больше HTTP запросов чем обычно;

ЖЖ смог обслужить около 30% трафика, включающего и нормальный, и вредоносный, в пике, т.е. все остальное пришлось отбрасывать;

Атака не привела ни к отказу оборудования, ни к нарушению целостности системы, ни к потере какого-либо уже опубликованного контента.

ЧИТАТЬ ДАЛЬШЕ. ВЕСЬМА ИНТЕРЕСНО.

Обратите внимание на карту, откуда велась атака. Ни одного компьютера на территории России!

53.19 КБ

(46 комментариев | Оставить комментарий)

Comments
 
From:[info]antonalkhimov@lj
Date:March 31st, 2011 - 03:56 am
(Link)
а зачем нужно было атаковать из-за рубежа?
[User Picture]
From:[info]dil@lj
Date:March 31st, 2011 - 03:58 am
(Link)
Ботнет - это такая распределённая штука, которой пофигу, где находится конкретный зараженный компьютер. Где получится заразить, там и будет.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:02 am
(Link)
Именно. Но если меня, например, атаковали боты, айпи адреса которых не повторялись, но все относились к России или окружающим русскоязычным территориям, то в данном случае кто-то следил, чтобы сеть ботнета не затрагивала пределы России. Это, мне кажется, интересно.
[User Picture]
From:[info]oude_rus@lj
Date:March 31st, 2011 - 04:08 am
(Link)
это, скорее всего, прокси.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:13 am
(Link)
Скорей всего. Хотя не знаю, можно, задействуя прокси, добиться 1,2 миллиона одновременных соединений?
В любом случае, кто-то следил, чтобы на атаке на ЖЖ не светились российские ай-пи адреса.
[User Picture]
From:[info]oude_rus@lj
Date:March 31st, 2011 - 04:44 am
(Link)
в Зап.Европе тоже пусто -- и я даже знаю, почему.
[User Picture]
From:[info]oude_rus@lj
Date:March 31st, 2011 - 06:33 am
(Link)
потому что подобный трафик отслеживается и убивается на корню.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 02:33 pm
(Link)
Я как-то писал, что дикое количество ботов регистрировалось с немецкого айпи и даже обращался по этому поводу к их провайдеру.
From:[info]starik75@lj
Date:March 31st, 2011 - 05:29 am
(Link)
igrick у себя пишет:
Через прокси ДДосить — это детский сад, очень легко противостоять. Я к тому что нет конечно.
[User Picture]
From:[info]dil@lj
Date:March 31st, 2011 - 04:11 am
(Link)
Управляющий центр ботнета, конечно, знает, где находится каждый конкретный компьютер, и в принципе может для атаки выбирать из них группы по странам. Возможно, зачем-то эту возможность действительно задействовали.
Если атака вообще имела место.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:15 am
(Link)
У меня нет оснований не доверять повременному графику, где четко зафиксирован ненормальный всплеск соединений.
[User Picture]
From:[info]dil@lj
Date:March 31st, 2011 - 04:26 am
(Link)
Ну вы ж понимаете, график нарисовать - дело нехитрое..
From:[info]antonalkhimov@lj
Date:March 31st, 2011 - 04:11 am
(Link)
Скорее всего, атакавали из России через прокси. Mail.ru тоже не работал.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:21 am
(Link)
У меня мейл-ру работал весь этот период.
[User Picture]
From:[info]oude_rus@lj
Date:March 31st, 2011 - 04:42 am
(Link)
не опасаетесь мейл-ру использовать?
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 02:35 pm
(Link)
Смотря для каких целей. Для ЖЖ - конечно, его использовать нельзя. Для конфиденциальной переписки - тоже. Для заказа чего-либо - самое оно. Потому что потом интернет-магазины и авиакомпании включают тебя в свой список рассылки и приходит много мусора.
From:[info]alexman9000@lj
Date:March 31st, 2011 - 06:54 am
(Link)
Как вариант, политика большинства российских провов (например Билайн, Онлайм в Москве) резко уменьшать ширину канала пользователю, при массовом потоке запросов от него (наблюдается в торенте если количество исходящих сделать неограниченным)...
[User Picture]
From:[info]mats_gunnar@lj
Date:March 31st, 2011 - 04:07 am
(Link)
я тоже ничего не понял. (
From:[info]viktor_ch@lj
Date:March 31st, 2011 - 04:09 am
(Link)
Версия от чайника.
Может, у нас антивирусные программы лучше, и на наших компьютерах этих ботов автоматических нет?
[User Picture]
From:[info]tempika@lj
Date:March 31st, 2011 - 07:17 am
(Link)
а в украине есть?
From:[info]viktor_ch@lj
Date:March 31st, 2011 - 08:33 am
(Link)
Я не знаю что в Украине, но пометки о ботах на карте там обозначены.
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 02:36 pm
(Link)
Не "в Украине", а "на Украине".
[User Picture]
From:[info]eugraf@lj
Date:March 31st, 2011 - 04:08 am
(Link)
наглое путинское враньё. Я где-то с полтретьего не мог попасть в жжшечку.:(
From:[info]saapin@lj
Date:April 1st, 2011 - 02:09 am
(Link)
Вы кого в данном конкретном случае имеете в виду под путиным? То есть кто врёт? Представитель СУПа? Или Вы имеете в виду Мальгина? Но это же бред.
[User Picture]
From:[info]eugraf@lj
Date:April 1st, 2011 - 02:10 am
(Link)
Мальгин лишь цитирует. Причём тут Мальгин?
From:[info]aet2003@lj
Date:March 31st, 2011 - 04:09 am
(Link)
География просто шикарная. Из наших бывших нас атаковала только Украина. Почему нет Африки? Только не говорите что там нет РС.
[User Picture]
From:[info]blizzard_87@lj
Date:March 31st, 2011 - 04:10 am
(Link)
> Ни одного компьютера на территории России!

что кагбэ намекает
[User Picture]
From:[info]eugraf@lj
Date:March 31st, 2011 - 04:12 am
(Link)
КаГБэ, хехехе
From:[info]gde_kefir@lj
Date:March 31st, 2011 - 08:36 am
(Link)
Так и из западной Европы тоже нет ничего. А это об чем намекает?
From:[info]keyszet@lj
Date:March 31st, 2011 - 04:11 am
(Link)
на войне все средства хороши
[User Picture]
From:[info]superambo@lj
Date:March 31st, 2011 - 04:13 am
(Link)
интерсно а как они заразили эти компьюторы - их ведь не меньше миллиона получается..
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:17 am
(Link)
Ну это уже существующая сеть ботнета. Думаю, создавалась постепенно, не под конкретную задачу. А тут ее владелец получил заказ - и понеслось.
[User Picture]
From:[info]mayhur@lj
Date:March 31st, 2011 - 04:19 am
(Link)
Россия в кольце врагов!
From:[info]olga_fink@lj
Date:March 31st, 2011 - 04:19 am
(Link)
Странно, очень странно.
From:[info]dorofeykin@lj
Date:March 31st, 2011 - 04:23 am
(Link)
Из Монголии тоже ни одного!
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 04:33 am
(Link)
Индия с Таиландом зато потрудились на славу.
[User Picture]
From:[info]paslen@lj
Date:March 31st, 2011 - 05:25 am
(Link)
Андрей, а на кого нападали, так и непонятно?
[User Picture]
From:[info]paslen@lj
Date:March 31st, 2011 - 07:51 am
(Link)
если я правильно понял, то "Новая газета"? Очень странно
[User Picture]
From:[info]avmalgin@lj
Date:March 31st, 2011 - 02:37 pm
(Link)
Даже не сто, а двести процентов, что на их блог никто не нападал.
From:[info]nadejda@lj
Date:March 31st, 2011 - 07:36 pm
(Link)
у меня такое ощущение что нападали не на какой то определенный блог а постили везде где не лень- у меня появились окмменты про навального с матом к постам не имеющим к нему отношения, и я читала что у других тоже такое появилось.
From:[info]sea2007su@lj
Date:March 31st, 2011 - 04:54 am
(Link)
Карта напомнила:

[User Picture]
From:[info]medvejenok_dima@lj
Date:March 31st, 2011 - 05:31 am
(Link)
Мне вот тут кое что кажется подозрительным:

http://medvejenok-dima.livejournal.com/216366.html
[User Picture]
From:[info]bureaus@lj
Date:March 31st, 2011 - 06:34 am
(Link)
medvejenok_dima прав, у жж технические проблемы и большие.
[User Picture]
From:[info]17x17@lj
Date:March 31st, 2011 - 07:19 am
(Link)
Ну это же ДДОС.
Кто же будет палиться.
[User Picture]
From:[info]sasha_ny@lj
Date:March 31st, 2011 - 01:36 pm
(Link)
сегодня уже есть и из России - на igrik'овой картинке
My Website Powered by LJ.Rossia.org