Häufende Botnetangriffe

Abend Zusammen,

wie vielleicht einige hier wissen, leite ich eine mittelgroße Multigaming Community welche auf einem Ts3 Server basiert.

Heute ist es nun schon das fünfte mal, innerhalb eines halben Jahres, dass wir von einem größeren Botnet (500 IP's) angegriffen werden.

Bei den ersten drei Mal, hat die Filterung von unserem Hoster schnell gegriffen und alles hat funktioniert.

Nun sind wir beim fünften Mal (gerade aktiv) angelangt, geht schon ca. seit einer Stunde, ohne Unterbrechung.

Nun frag ich mich:
Was bringts diesem ***** ?
Eigendlich ja nur wenn Geld im Spiel ist oder eventuell noch um User abzuwerben. Beides ist aber nicht der Fall.
Ich mein, klar suchen sich User nen anderen Ts aber es wird nicht irgendwie kurz vor Serverdown Werbung etc für einen anderen Server gemacht..


Habt ihr eine Idee, was die für Gründe haben könnten? Aus meinen Augen ist's einfach sinnlos.

Desweiteren hat vllt irgendwer eine Idee wie wir dagegen vorgehen könnten?
Serverseitiges absichern bringt nichts.. Fail2Ban etc. alles drauf und wie man sieht, selbst die DDOS Filter von unserem Hoster bringen nun nichts mehr..

Anzeige gegen Unbekannt? Halte ich für sinnfrei.


Ideen?
Ich hab keinen Plan mehr, solangsam pissts mich an.


Gruß
GYJohn

PS: Noch ne Botnet freie Nacht wünsch ich euch

Hallo,

Hmmm. Darf man fragen was für eine Anbindung dein Server denn hat ?

Eine andere Frage, was verstehst du unter "Server seitiges absichern" ?
Ich könnte mir zwar vorstellen dass du damit IPTables" meinst, wie viele Datenpakete und welche Größe angenommen werden, bin mir da aber nicht sicher ob dass der Fall ist .

Was mir spontan so einfallen würde wäre einmal das Script "(D)DOS Deflate", welches ab einer gewissen anzahl an anfragen die IP's in der Firewall sperrt und dieses dann ins "Null Routing" führt.

MfG Pierre

##Edit: Du weißt auch nicht zufälliger weise an welchen Port die Angreifer ihre Anfragen senden ?

Es gibt Hobbylose Leute, die dich einfach DDOS'en wollen aus welchen gründen auch immer.

Fail2ban hilft beim DDOS nicht, wenn er eben größer als die Anbindung am Server ist, da du da Filtern musst wo du am meisten Bandbreite hast und das nicht am Endpunkt am Server sondern an davor, z.B an direkt nach der Backbone. Und Meistens wenn du diesen mit Fail2ban filtern kannst ist es ein DOS.

Normalerweise kann der Hoster die Filter anpassen, kann auch sein das es seine Kapazität übersteigt.

Wenn der Hoster es nicht hinbekommt, dann kannst du z.B zu OVH bzw günstiger halt Kimsufi/SYS gehen. Deren DDOS Protection sollte sowas abwehren können.

Allerdings, wirst du weder bei SYS oder Kimsufi anständigen Support bekommen, such dir besser einen Neuen Provider der das für dich Ordentlich Filtern kann oder gehst halt zu OVH is aber teuer. 80EUR+.

Hallo @CosmosCraft,

(D)DOS Deflate werde ich mir mal anschauen, sagt mir nichts.


Mein Hoster meint auch, denen ihr DDOS Filter sollte bei größeren Angriffen auch stand halten. Allerdings war mein Server gestern von 22:45-4:45 Uhr komplett down. Bzw ab und zu kam mal ein Ping durch. Anbindung ist 1 GB/s. Ich glaub shared. Ist ja aber auch relativ, weil größere Server mehr Anfragen verarbeiten können.

Angegriffen wurde nur der Webserver?! Sau sinnlos.. Down war allerdings alles. SSH eingeschlossen.


Hallo @Neo,
ich hab den Ts3 jz mal zu Soyoustart(OVH) umgezogen. Kann aber auch sein dass wir einfach mal 3 Monate Ruhe haben.. Ist halt extrem komisch.
Ich wüsst einfach gern wer das ist.. Weil so ists mega sinnfrei. Die haben nichts davon.