[CaLViN]

Sunucumuza veya sitemize yapılan saldırıları nasıl tespit edebiliriz ?

Sunucuya yapılacak saldırılar için

ssh a root olarak girelim

şu komutu yazalım

netstat -np | grep SYN_RECV | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n

eğer boş çıkarsa syn saldırısı yoktur.lakin yanında 2-5-78-345 gibi sayılar olan ip ler çıkarsa syn saldırı alıyorsunuz demektir.Yanlarındaki sayı ne kadar yüksekse bu saldırı o kadar şiddetli demektir.büyük ihtimal apache düşecek ve siteler erişime kapanacakdır.syn saldırılarda cpu veya ram kullanımı yükselmez.anlamak pek basit değildir.

udp saldırılarında ise sunucu cpu,ram ve network kullanımı oldukça yükselir.işlemci tavan yapar.bu tür saldırıları anlamanın zor olmadığını biliyoruz

netstat -n komutuyla baktığımızda time_wait çok fazla ve aynı ip den ise udp dir.açık bir şekilde udp saldırıları ayırt edilebilir.


---

site odaklı saldırılar

site odaklı saldırıları anlamak pek kolay olmayacaktır.eğer sunucunuzda bir çok site var ise siteleri tek tek host ettiğiniz ipden alıp başka bir ip ye taşımaktadır.bu süreçte taşımadan sonra sunucunuzun normale döndüğünü gözlemlerseniz saldırılan siteyi bulmuş olursunuz.

genel olarak whm de şu 3 bölümden yararlanabilirsiniz.

Apache Status
CPU/Memory/MySQL Usage
Service Status

servis statüsden işlemci ve ram kullanımını öğrenebilirsiniz.

cpu memory bölümünden hangi sitenin hangi servisin hangi dosyanın ne kadar kaynak tükettiğini görebilir ve buna göre hareket edebilirsiniz.

Apache status kısmından ise hangi sitelere bağlantı yapılmış ne kadar sürmüş hangi ip den yapılmış vs istatistikleri görebilirsiniz.

aynı ipden yapılacak bir çok bağlantı saldırı işaretçisidir.veya aynı dosyaya bir çok yerden giriş yapılması buna bir örnek olabilir.

--

çözüm önerisi

--

sunucunuza ve sitelerinize yapılacak saldırı önlemek için bir takım basit yazılımlar var.bunlardan en çok bilineni apf bfd ve csf lfd ikilisidir.bunlar çok ağır saldırılar karşısında etkisiz kalacakdır.sadece basit saldırıları engelleyebilirler.bu ikiliden csf yi tavsiye edeceğim çünkü apf whm ye entegre olamaması ve hostname banladığı zaman kilitlenmesi ile 2 adım geride kalmaktadır.csf ise whm üzerinden kontrol edilebilen çok kullanışlı bir yazılımsal firewall dur.

bunun yanında kesin olmasada en az %50 oranında sizi koruyacak donanımsal firewall lar bulunmaktadır.bunları sunucunuzu aldığınız verimerkezi ile görüşerek temin edebilirsiniz.cisco bunlardan en bilineni ve en güvenilir olanıdır.

Saygı ve Sevgi ile..

[eviL]

afp yi onermem, makınayı acaip şişiriyor login olamıyorsunuz ilk kez kullandım çok pişman oldum, kurucak arkadaşlara önerimdir.

[sinangunay]

doğru kullanmazsanız kendi işletim sisteminiz bile cehenneme dönebilir apf'in suçu yok, ayarları doğru yapmak lazım. Sağda solda gördüğünüz herşeyi sunucunuzda denemeyin, ingilizceniz varsa ayarları kendi ihtiyaçlarınıza göre düzenleyin. İyi çalışmalar

[Holokost]

1 81.213.165.187
1 85.108.59.242
1 88.233.111.29
1 88.235.48.91
1 88.240.19.147
1 88.241.187.156
1 88.242.141.125
3 81.214.172.10
5 85.97.149.243
8 88.229.42.147
8 88.230.25.223
8 88.240.60.219
syn saldırı mı yıyorum yani

[CaLViN]

evet ama ciddi değil.
20 lere 30 lara vardıktan sonra dikkate almalısınız

[Holokost]

ciddi değil mi zaman zaman artıyor olsa gerek ki aşağıdaki tabloyla karsılasıyorum

http://img128.imageshack.us/img128/9837/eohayanixi9.jpg

bu kadar yuksek cok nadır oluyor ama 10'dan 20'den asagı da pek dusmuyor load avarage

[sinangunay]

heh sizin acilen profesyonel bir destege ihtiyaciniz var :p

[Holokost]

kerneli bir derleyip toplamak lazım herhalde :p

[sinangunay]

yok canım daha neler

Bu postu okuyunca aklıma şey geldi. Bu işlerden süper(!) anlayan bir eleman vardı vakti zamanında. Resellerları saldırı alıyor diye komple hosting işini bırakıp Dedicated Server satıyordu ama FULL MANAGED olarak. Kendine aldığı saldırıları engelleyemeyen 1 adam nasıl full managed sunucu satar anlamıyorum

[lesyaozden]

Bilgilendirdiğiniz için teşekkürler. Çok güzel açıklamışsınız