Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a

utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago

Requests:              13
Unterschiedliche IPs:  13
Challenges ausgestellt: 11
Challenges gelöst:       0

• tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

  @utzer hmm, der Zeitraum ist eigentlich viel zu kurz.

  Warum Der Anubis bei diesem bisschen Rauschen schon umfallen soll, ist sehr merkwürdig. Irgendwo ne Fehlconfig am Werk.
  ca. 10 Challenges/s, das ist kein Flood im wirklichen Sinne.
  DEBUG-Logs und METRICS_BIND-Metriken suchen -> Speicher-Anstieg, offene Verbindungen, OOM? Irgendwas hakt da.

  
  

  /etc/nginx/conf.d/uaold13.conf:
  
  map "$ssl_protocol $http_user_agent" $uaold13 {
      default 0;
      "~^TLSv1\.3 .*Chrome/[0-6][0-9]\."   1;
      "~^TLSv1\.3 .*Chrome/[0-9]\."        1;
      "~^TLSv1\.3 .*Firefox/[0-5][0-9]\."  1;
      "~^TLSv1\.3 .*Edge/1[0-7]\."         1;
  }
  
  Im server-Block:
  
  if ($uaold13) { return 444; }
  
  doas nginx -t && doas /etc/init.d/nginx reload

  Das könntest Du als temporäre Spielerei aufnehmen. Würde halt nicht lange halten. Am besten erst eine Stunde oder Zwei nur loggen statt 444, um zu sehen, wen Du triffst!

  Das ist also hier vermutlich nur ein Vorspiel.
  Werden zukünftig Challanges gelöst, hat der Schlingel auf eine JS-Version umgeschwenkt. Erst dann wirds lustig. Bis dahin musst Du das Anubis genauer durchschauen.
  Eindeutiges könntest Du auf DENY statt CHALLENGE stellen, das kann ich aus der Ferne nicht beurteilen.

  original

  • utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago

    @tom_s guck mal in den Ausgangspost, es waren 50000 Requests in 5 Minuten. Mit den geblocken UA geht es jetzt ja super.

    original

    • tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

      @utzer guter Punkt. Für nginx sind ca. 185/s zwar ok, aber dahinter kann das enger werden.

      Ok, würde vorschlagen, den uaold13 scharf stellen und zudem noch:

      bots:
        - name: generischer-crawler
          user_agent_regex: 'Mozilla/5.0 \(compatible; crawler\)'
          action: DENY
        - name: antike-ua
          user_agent_regex: 'Chrome/([0-6][0-9]|[0-9])\.'
          action: DENY

      Damit fällt schon mal Last ab.
      Nun gilt es den Zähler von gelösten Challenges im Auge zu behalten.

      Für das Beurteilen von Verbindungen, einfach mal nen Tag lang anschauen, was so passiert, z.B.
      

      nft add rule inet filter input ct state new tcp dport 443 
      counter

      Wäre ein Anfang.

      original

      • tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

        @utzer
        hab das zuvor ein wenig unglücklich ausgedrückt. ich meinte die input rule mal in ruhigen, normalen Zeiten laufen lassen. so 4x am Tag für jeweils ne Stunde. Aber vielleicht kennst Du die normale Auslastung ja selber schon.

        Je nachdem, was Deine Messung ergibt, könnte man sowas beispielsweise einbauen: Rate: 50/s und Burst: 150

        table inet floodfilter {
            chain input {
                type filter hook input priority filter; policy accept
        
                ct state established,related accept
        
                # Limit auf neue Verbindungen zu 443
                ct state new tcp dport 443 limit rate 50/second burst 150 accept
                ct state new tcp dport 443 drop
                
            }
        }

        Ist nur ne Idee, um den Traffic zu deckeln.

        original