Tiedättekös paljonko tuollainen on bittiä?
FICIX käy tällä hetkellä huipussaan 13Gbps liikenteessä.
Hassua että se nettihyökkäys EI NÄY SIELLÄ MITENKÄÄN.
http://stats.ficix.fi/FICIX-1_total.html
http://stats.ficix.fi/FICIX-2_total.html
Katsokaa tuolta historiakäyrät molempien kytkinten osalta 2h averagena.
Otaniemi peakkasi tiistaina 7.5Gbps:ssä jossa se on käynyt ennenkin, pari viikkoa sitten.
Pasila oli maanantaina 5Gbps:ssä ja tiistaina ALEMPANA, aiemminkin käyty viikoittain tuolla 5Gbps:ssä.
Yhteisliikenne siis ei ollut mitenkään poikkeavaa maanantaina, saatika tiistaina! Pakettimäärissäkään ei ole mitään havaittavaa piikkiä.
Ja ennen kuin kitisette että hyökkäys tuli Suomen ulkoa, Sonera saa sekä pohjoismaista, Baltian että venäjän bittiä FICIXin ylitse muilta isommilta operaattoreilta, se näkyisi tuossa ihan paljaalla silmällä.
Lisäksi 14Gbps josta se yksi webikuva kertoo on niin vitusti bittiä että pelkästään sen tuleminen jostain IP transit yhteyksien ylitse (joista yksikään ei ole Soneralla edes 10GE liittymä) näkyisi vähän toisin kuin parin web-saitin hidastuksena. Koko Soneran ulkomaan bitti juustoisi kaikilla asiakkailla. Havaittiinko tällaista?
Ainut miten tuo selittyisi edes melkein olisi se että koko 14Gbps tulisi jostain Soneran omasta verkosta, ja silloinkin niitä joilla bitti juustoaa collateral vaikutuksen takia tulisi olla satoja ellei tuhansia tai jopa kymmeniä tuhansia.
Hyökkäys siis oli hyvin pieni määrä liikennettä, jos sitä edes on olemassa. Miten pieni määrä saa kaadettua web-palvelua? Se palvelu lienee todella huonosti toteutettu jos tuo on todella totta.
Muita vaihtoehtoja on että tässä ei ole hyökkäys edes kyseessä, vaan asiassa selitellään tahallaan.
FICIX käy tällä hetkellä huipussaan 13Gbps liikenteessä.
Hassua että se nettihyökkäys EI NÄY SIELLÄ MITENKÄÄN.
http://stats.ficix.fi/FICIX-1_total.html
http://stats.ficix.fi/FICIX-2_total.html
Katsokaa tuolta historiakäyrät molempien kytkinten osalta 2h averagena.
Otaniemi peakkasi tiistaina 7.5Gbps:ssä jossa se on käynyt ennenkin, pari viikkoa sitten.
Pasila oli maanantaina 5Gbps:ssä ja tiistaina ALEMPANA, aiemminkin käyty viikoittain tuolla 5Gbps:ssä.
Yhteisliikenne siis ei ollut mitenkään poikkeavaa maanantaina, saatika tiistaina! Pakettimäärissäkään ei ole mitään havaittavaa piikkiä.
Ja ennen kuin kitisette että hyökkäys tuli Suomen ulkoa, Sonera saa sekä pohjoismaista, Baltian että venäjän bittiä FICIXin ylitse muilta isommilta operaattoreilta, se näkyisi tuossa ihan paljaalla silmällä.
Lisäksi 14Gbps josta se yksi webikuva kertoo on niin vitusti bittiä että pelkästään sen tuleminen jostain IP transit yhteyksien ylitse (joista yksikään ei ole Soneralla edes 10GE liittymä) näkyisi vähän toisin kuin parin web-saitin hidastuksena. Koko Soneran ulkomaan bitti juustoisi kaikilla asiakkailla. Havaittiinko tällaista?
Ainut miten tuo selittyisi edes melkein olisi se että koko 14Gbps tulisi jostain Soneran omasta verkosta, ja silloinkin niitä joilla bitti juustoaa collateral vaikutuksen takia tulisi olla satoja ellei tuhansia tai jopa kymmeniä tuhansia.
Hyökkäys siis oli hyvin pieni määrä liikennettä, jos sitä edes on olemassa. Miten pieni määrä saa kaadettua web-palvelua? Se palvelu lienee todella huonosti toteutettu jos tuo on todella totta.
Muita vaihtoehtoja on että tässä ei ole hyökkäys edes kyseessä, vaan asiassa selitellään tahallaan.
Vastaukset 14
Vanhimmat
ei nuo kuormassa näykään mitenkään, kun tyypillisesti dos-hyökkäyksessä lähetetään vain yksi paketti, esim. sivunlatauspyyntö.
se on pientä verrattuna esim suuremman tiedoston lataamiseen.
mutta palvelimella taas useat pyynnöt näkyy siksi, että apache joutuu jokaista varten monistamaan palveluprosessinsa. ja kun niitä tapahtuu tarpeeksi paljon tarpeeksi tiheään niin mikään kone sitä ei kestä.
siis liikenteen kokomäärästä ei ole kyse, vaan lukumäärästä.
Netissä levitellään pornon sijaan botnet kuvaa jossa muka Suomalainen nuori hallitsee botnettiä joka floodaa 14Gbps.
Tuossa siis on kyse biteistä per sekunti jos se kuva josta vielä uutisoidaan (Tietokone lehti) olisi aito.
Siis botnet olisi hyökännyt YLE:lle isommalla kaistalla kuin mitä Suomessa yhteensä vaihdetaan bittiä FICIX pisteen ylitse.
Joku/jotkut menee siis kympillä halpaan.
Jos YLE kaatuu yhteen sivunlatauspyyntöön niin kannattaisi palkata joku Liimatukkanörtti pystyttään paremmat palvelimet.
Coke Zero-palkalla varmaan löytyy kymmeniä ehdokkaita tekijäksi.
Eh... ei se palvelin välttämättä kaadu. Se vaan sattuu olemaan fakta ettei yksikään palvelin pysty vastamaan kymmeniin tuhansiin queryihin sekunnissa yhtä aikaa. Tuo hyökkäys on peräisin DC protokolan väärinkäytöstä isoilla hubeilla ja käytännössä mahdoton estää. Vai olisiko hyviä ideoita miten filtteröidä aidot http yhteydet jotka tulevat randomeista ip:stä ddos:n sijaan? Ylelle tuo tieto varmaan kelpaisi. Ainut vaihtoehto on paikallistaa hubi ja sulkea se / estää tämän kyseisen funktion käyttö.
Ja mitä liikenteen määrään tulee, testasimme labrassa kyseistä metodia ja se generoi erittäin pieniä paketteja mutta määrällisesti niitä tipahtaa linkistä niin paljon kun se vaan pystyy välittämään.
Ensinnäkin, se että takana olisi Suomalainen nuori 20v tms tyyppi perustuu siihen giffiin jossa väitetään että hyökkäys tulee botnetistä 14 GIGA BITTINÄ SEKUNNISSA.
Sun lausuman mukaan tuo Tietokoneenkin uutisoima väite siis EI OLE TOTTA!
Ja jos se taas olisi pieniä paketteja FICIXin yli pakettien tulo näkyisi niissä samoissa urleissa näkyvissä pps (packets per second) graafeista.
EIPÄ NÄY.
Mutta tällöin on, myönnän, mahdollisuus että hyökkäys tulee Soneran oman verkon sisältä. Edelleen tässä ei täyty kyllä Viestintäviraston kohu-uutinen "Suomen suurimmasta verkkohyökkäyksestä".
On noita ennenkin tullut (työni puolesta) nähtyä sekä pps että bps mittareilla mitattuna niin isoja että FICIX graafit heilahtivat kunnolla.
Eipä taida Soneran kuidut kulkea Ruotsinmaalle Ficixin kautta mistä maailmalle reititetään tavaraa, vai olenko väärässä?
Jostain ne paketit tulee, tuskin loopbackistäkään :P.
suuri patokin murtuu, pienestä vesivirrasta.
80k pakettia averagea enemmän :P Miksi? ;)
http://stats.ficix.fi/cgi-bin//createrrd.pl?node=Sonera Carrier Networks Oy&type=packets&title=Packets for the last week&file=/var/www/ficixStats/var/rrd//16//FICIX-1_total_packets.rrd&time=week&dsnames=in_unicast:out_unicast:in_nonunicast:out_nonunicast&unit=pps&multiply=1
Mutta, tässä olikin kyse siitä giffistä ja Tietokoneen uutisesta jossa hyökkäys nimettiin 14Gbps:ksi ja syylliseksi nimetään yhtä Suomalaista nuorta.
Kaiken sun ja virallisten valvojien kertoman perusteella se giffi ei voi olla totta.
Toivottavasti siis tässä ei viranomainen tai media ristiinnaulitse ilmeisen syytöntä osapuolta.
80k pakettia averagea vähemmän :P Miksi? ;)
http://stats.ficix.fi/cgi-bin//createrrd.pl?node=Sonera Carrier Networks Oy&type=packets&title=Packets for the last month&file=/var/www/ficixStats/var/rrd//16//FICIX-2_total_packets.rrd&time=month&dsnames=in_unicast:out_unicast:in_nonunicast:out_nonunicast&unit=pps&multiply=1
Summagraafi jossa on sekä F1 että F2 näyttää tasaista, ei eroja. BGP reitityksen ansiosta painotukset kahden kytkimen liikenteenvaihdon välillä voi muuttua riippuen millaisin painotuksin reitit lähetetään tai otetaan vastaan peerien välillä.
http://stats.ficix.fi/16/total.html
Toi bitti kun on voinut loikkaa Pasilasta Otaniemeen liikennettä lähettävän osapuolen toimesta.
Se näyttää olevan kotoisin Telenorilta, ennen tiistaita Telenorin F2 GE on käynyt tapissa joka päivä, tuota on sitten oikaistu maanantaina. Hyvinkin voi olla täysin riippumaton tekijä, Telenor vain korjannut ongelman joka on ollut viikkoja olemassa.
http://stats.ficix.fi/19/FICIX-1_total.html
Älä ole idiootti. Suomesta on muitakin putkia ulkomaille kuin FICIX, ja vaikka koko maailmalle levittyneen botnetin yhteenlaskettu ja arvioitu LÄHETYSNOPEUS olisikin 14 gibibittiä sekunnissa, ei ole mitään takeita siitä, että edes puolet tuosta ei jäisi jo matkalla jäätyviin reitittimiin. Ei se 14Gibps siellä ole Ylelle sisääntulevaa, vaan ympäri maailmaa sinnepäin lähtevää dataa.
Aivan kuin johonkin botnetin hallintabotin summanmutikassa heitettyyn arvioon voisi muutenkaan luottaa kuin suurella varauksella.
Ficixin ylitse taisi saada muistaakseni noin 2000 prefiksiä. Kokonaisinternet on noin 215000 prefiksiä.
Eli lineaarisesti hyökkäyksestä 1% pitäisi tulla Suomesta, mutta kun internet ei toimi lineaarisesti niin sitä ilmeisesti olisi enemmän liikenne kun tuppaa tulemaan lähempää kuin kauempaa. Ja todellakaan jos lähtö on ollut 14Gbps niin voisi olettaa että matkalla se vähenee prosenttiin, joka olisi kyllä graafeista nähtävissä.
Tässä nimenomaan on siitä kyse että graafeissa ei ole nähtävissä pienenpienintäkään piikkia ja silti uutisissa kohistaan "Suomen suurin".
Miksi tästä jaksan puhua? Olen OMIN SILMIN nähnyt historiassa floodeja graafeista Suomessa. Silloin on FICIX näyttänyt poikkeamia jne. Ja yhdessäkään noista tapauksista yksikään Suomalainen media ei edes maininnut asiaa pilkulla.
Tässä siis on kyseessä:
1. väärän ihmisen syyttäminen nettiurlilla joka ei voi olla totta
2. uutisoinnin paisuttelu
Eikö tällaisesta siis saisi puhua?
Taitaa teikäläisen ammattitaito olla hieman heikolla tolalla.
Mee juomaan pepsiä, Olli.