Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a
utzer@f.utzer.de@f.utzer.de 15 hours ago Das hat einige Begleiterscheinungen, die man nicht möchte.
Prüf aus dem Log das tatsächliche Header-Profil des Floods (Accept-Language leer/nicht leer, Anzahl eindeutiger Sec-CH-UA/Accept-Kombinationen). Wenn da ein konstanter Unterschied zu echten Browsern ist, kann ich dir eine gezielte Regel bauen, die genau diesen Header-Set blockt statt der UA-Version. Das ist der einzige UA-nahe Filter, der hier sauber zwischen Flood und echten Nutzern trennt.
utzer@f.utzer.de@f.utzer.de 15 hours ago @tom_s aber sind das nicht alles echt alte UA, also wenn ich die blocke was kann das für Nebeneffekte haben? Firefox 119 oder 120 ist doch echt alt.
Aber ich schaue morgen nochmal ob ich es weiter optimieren kann.
@utzer @pasjrwoctx Der Flood rotiert UAs bewusst gleichverteilt durch 160 Identitäten – das ist ein Tool, das darauf gebaut ist, dass man es am UA erkennt. Hier wirst du also mit UA-Blocking nur die nächste der 160 Identitäten sehen, nicht weniger Traffic.
Was helfen kann ist TLS-Fingerprint und die Challenge-Ökonomie (Anubis-PoW-Difficulty).
utzer@f.utzer.de@f.utzer.de 15 hours ago @tom_s Anubis hält dem Ansturm gar nicht Stand. Das Setup ist so, dass der Reverse Proxy das aufiltern muss, Anubis kommt erst danach, dann der Dienst.
Ich schau mal es dann neue UA gibt.
tom_s@friendica.ambag.es@friendica.ambag.es 15 hours ago
tcpdump oder tshark, Anubis kann JA3 selbst berechnen, wenn man es dort als Log-Feld ergänzt
tom_s@friendica.ambag.es@friendica.ambag.es 15 hours ago
@utzer
Nein. Fast.
50.000 weltweit gestreute IPs mit identischen Signaturen = eine einzige Software, die durch ein rotierendes Proxy-Netz sendet.
gleicher TLS-/JA3-Fingerprint
dieselbe feste UA-Liste, perfekt gleichverteilt rotiert
dasselbe Ziel
....