Re: Syn/Ack Flood?

On Thu, 28 Mar 2002 12:10:54 +0100
Goran Zivec <goran.zivec@mib.edu> wrote:

> Steve Gibson chiama questa cosa Distributed Reflection Denial of Service, e
> si ha maggior impatto se lo scherzo viene usato non con un server ma con i
> router dell'infrastruttura portante di internet.
> Trovate dettagli al
> http://grc.com/dos/drdos.htm
> Saluti e Buona Pasqua
> Goran
> 
>

Buona Pasqua anche a te e grazie dell'interessante lettura.
Quindi da quello che ho capito grossi "benefici" si erano avuti grazie a router "mal configurati" che rispondevano al syn sulla porta 179 da qualunque posto su internet, ed il rimedio è stato di accettare connessioni su quella porta solo dai router vicini, giusto?
Però questo attacco (come tutti i dos) è virtualmente impossibile da bloccare totalmente; un attaccante può usare la riflessione dai vari server web di grosse compagnie . 
Ovviamente come mi ha fatto notare un altro amico della ML, ad essere "danneggiati" sarebbe anche e sopratutto gli amplificatori, dato che devono allocare memoria per instaurare la connessione, cosa che non avverrà mai.
Quindi la suluzione (utopica?) sarebbe quella di contattare ogni singolo punto intermedio di internet per far bloccare il traffico "sospetto"? 
Ad esempio utilizzando un count di pacchetti syn/ack emessi e dopo questa cifra non spedire + i pacchetti verso l'ip spoofato? Ovviamente per un certo periodo ti tempo, per non impedire connessioni legittime troppo a lungo.
Ciao alla prox.

--

Qlo
www.ipv6mania.net

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List