Защита от DDOS BGP [автоматизировать комьюнитиз?].

Hey everyone! 👋

Just wanted to share a little update on the project. Things are moving along nicely, but we've hit a few snags here and there. 😅 No biggie, though! We're tackling them one by one.

Here's a quick rundown:

*   **Frontend:** Almost done! Just a few tweaks to the UI and responsiveness. 🚀
*   **Backend:** Still working on the API integrations. It's a bit of a beast, but we're making progress. 💪
*   **Testing:** QA is diligently crushing bugs as they pop up. 🐛➡️✅
*   **Documentation:** I’m starting to put together some preliminary docs. Don’t expect a masterpiece just yet, but it's better than nothing! 📝

**Big shoutout** to @Sarah for her amazing work on the user authentication module – it's a lifesaver! 🙌

**Remember to** submit your timesheets by Friday! ⏰

**Link to the project board:** https://trello.com/b/your-project-board/your-project-id

Let's keep the momentum going! 🎉

#projectupdate #frontend #backend #testing #documentation #teamwork

У тебя есть ещё скрипт для использования DDoS?

И ещё вот эта презентация по теме: http://mum.mikrotik.com/presentations/EU16/presentation_2960_1456752556.pdf

Есть большая проблема с fastnetmon и ROS, потому что трафик ROS идет слишком медленно и требуется больше минуты для обнаружения DDoS. С sflow это занимает 1-2 секунды, но Mikrotik не поддерживает sflow.

Привет, я собираюсь реанимировать эту тему, потому что в последнее время я ищу систему автоматического смягчения DDoS-атак, вместо RTBH (реагировать сразу, что есть, там есть), я хочу активировать использование центров очистки для подозреваемых /24, подвергающихся DDoS-атакам. Я тестирую FastNetMon в производственной среде, которая по сути состоит только из серверов, но мне кажется, что он определяет некоторые вещи как положительные атаки, когда на самом деле ими не являются. Тест проводится на одном из граничных маршрутизаторов: CCR 1036-12G-4S на BFO 6.38.7. Конфигурация Traffic Flow: /ip traffic-flow
set active-flow-timeout=1m cache-entries=4M enabled=yes interfaces="sfp1,sfp2" Я использую Netflow v9. Последний FastNetMon, все настроено по умолчанию, кроме: average_calculation_time = 30
process_outgoing_traffic = off Сначала среднее время я изменил, прочитав и посмотрев документацию для этого ПО, оно было установлено на 5, и каждый IP-адрес, который у меня был, был определен как либо подвергающийся DDoS-атаке, либо как DDoS-атакующий. После изменения это прекратилось. Я также отключил process_outgoing_traffic, потому что в настоящее время я обеспокоен только входящими атаками. В общем, он начал определять UDP Flood-атаки с сообщением о высокой PPS (свыше 20 000). Я сразу же начал проверять эти вопросы, поскольку он интегрирован со Slack, я проверяю в тот момент, когда получаю уведомление. Я также отслеживаю оба интерфейса через SNMP, используя другую систему, подсчитываю PPS входящие/исходящие каждые 30 секунд, и там ничего не показывает, ни всплеска, ни показателя, который был бы заметно нетипичен или мог бы указывать на DDoS-атаку. На самом деле, проверяя показатели за предыдущий час, все согласованно. Я проверяю каждый показатель, а не предполагаемую PPS, предоставляемую приложением (PRTG, если это важно). Получаю что-то вроде этого: 12:00:00 → 3500000 пакетов 12:00:30 → 3500390 пакетов 12:01:00 → 3500594 пакетов 12:01:30 → 3500720 пакетов 12:02:00 → 3501100 пакетов ← именно здесь срабатывает тревога Эти значения неточные, просто чтобы показать, что изменения действительно небольшие и довольно постоянные, как сообщает PRTG. У вас был подобный опыт? Если да, то удалось ли вам это исправить? Или вы пробовали что-то другое для этого? Кажется, FastNetMon имеет много пользователей в других брендах, таких как Cisco, без проблем при использовании netflow тоже. Заставляет меня задуматься, нет ли проблемы с реализацией netflow в MikroTik.

Да, это рабочее решение, но это пустая трата денег. Нам нужно всё это в стойке, энергопотребление и так далее, только чтобы иметь возможность "подключиться" к твоим каналам связи, чтобы правильно извлекать информацию, необходимую твоему анти-DDoS решению. Вот бы Микротик выпустил маленький 10G коммутатор. Например: CRS106-1C-5S+ – это было бы круто для таких задач! Это было бы (относительно) дёшево, и его можно было бы запихнуть в зад стойки где-то, не занимая ценное место. Если бы Netflow/IPFIX в RouterOS не имели этих особенностей, то всё было бы в порядке с FastNetMon, который бесплатный/открытый и не требует какого-либо специального оборудования в пути данных (кроме экспортера Netflow, конечно). Например, при UDP атаках, FastNetMon обнаруживает атаку примерно за 3 секунды и блокирует её правильно даже с реализацией Netflow в RouterOS. С тех пор у меня не было ложных срабатываний при UDP (для моего типа трафика), потому что нет долгоживущих UDP соединений. Так что эти пакеты атаки экспортируются за 1 секунду (то есть: время ожидания неактивного потока = 1с) и пороги в FastNetMon срабатывают сразу же. Так что на данный момент я практически использую FastNetMon только для смягчения UDP атак (что обычно и происходит). Для TCP атак (например, synflood) это всё ещё ручной процесс для меня…

Мы в процессе внедрения Wanguard Sensor (режим зеркалирования пакетов) в связке с MikroTik BGP edge. Будем использовать ExaBGP для объявления черных дыр (/32 RTBH mitigation) с меткой community, а также перенаправления на сторонний центр очистки трафика (/24 префиксов). Застряли с методом перенаправления. Проблема в том, что Wanguard рекламирует маршрут /24, который нам не нужен как активный, но MikroTik не может распространять неактивные маршруты, как это умеют Juniper и Cisco (Juniper: advertise-inactive, Cisco: suppress-inactive). У кого-нибудь есть пример реализации Wanguard + MikroTik? Спасибо.