TCP Flooding - Ist SNORT eine Lösung?

[siegi82]

Liebe Syno Community,

Ich habe eine DS508 und eine 710+ Station, derzeit habe ich meine DS508 zum Internet hin offen, hinter einem DLINK Dir-685.
Seit kurzem habe ich das Problem das meine Station extern nicht erreichbar ist, im internen Netzwerk ist Sie jedoch erreibar. Nach längerer Fehlersuche bin ich im Protokoll des Routers auf das Problem gestoßen.
Anscheinend bin ich seit kurzem einer TCP-Flooding Attacke ausgesetzt (im Halbsekunden Takt werden Anfragen an den Router geschickt) der Router verwirft anscheinend die Anfragen, was ja einmal prinzipiell gut ist, jedoch nicht so gut ist, daß meine DS508 von extern nicht erreichbar ist.
Das Problem habe anscheinend nicht nur ich und habe mich daher auf Lösungssuche begeben, angeblich soll die Open Source Lösung "Snort" recht hilfreich sein. Das Problem ist, ich kann Snort leider nicht auf meinem Router installieren, daß heißt ich muss vor den Router theoretisch einen PC, was mir lieber wäre eine Diskstation, davorhängen vor den Router welcher automatisch Attackierende IP-Adressen erst gar nicht zum Router durchlässt.
Da Snort auch auf UNIX Systemen eingesetzt wird, wäre es interressant zu Wissen...geht das auch auf einer Synology Station, oder gibt es noch andere leichtere Methoden diese nervigen Attacken zu blockieren?

Hier ein Auszug aus meinem Router:
Zeit Benachrichtigung
Mar 21 17:17:39 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:192.74.245.123) detected. Packet dropped.
Mar 21 17:17:34 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:108.62.236.244) detected. Packet dropped.
Mar 21 17:17:27 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:108.62.17.254) detected. Packet dropped.
Mar 21 17:17:21 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:192.74.234.72) detected. Packet dropped.
Mar 21 17:17:16 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:64.120.44.116) detected. Packet dropped.
Mar 21 17:17:10 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:142.4.118.20) detected. Packet dropped.
Mar 21 17:17:03 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:173.208.83.171) detected. Packet dropped.
Mar 21 17:16:57 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:173.234.153.189) detected. Packet dropped.
Mar 21 17:16:52 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:23.19.99.85) detected. Packet dropped.
Mar 21 17:16:46 ATTACK Detected: 002[TCP-FLOODING] attack from WAN (ip:108.177.181.43) detected. Packet dropped.


Interessant ist weiteres, warum ist meine DS508 mit httpd Anfragen beschäftigt, obwohl die Packete vom Router ja verworfen werden - siehe Screenshot




LG Siegi

 

[Steini]

Snort ist ein guter Ansatz, um solche Angriffe zu unterbinden, da es gleichzeitig als IDS (Intrusion Detection System: meldet "nur" den Versuch einer Attacke, reagiert aber nicht) und IPS (Intrusion Prevention System: meldet nicht nur, sondern blockiert gleich die Anfrage) wirkt.

Da du aber sicherlich auch den Apachen am Start hast, beschäftige dich mal mit mod_evasive (Apache Evasive Maneuvers Module), welches mit einer Blacklist arbeitet und die Anfragen einer IP zählt. Wird diese Anzahl binnen einer definierten Zeitspanne überschritten, wird mit einem 403er geantwortet. Ist der anfragende Client danach immer noch nicht ruhig, wird er automatisch blockiert.

Als Alternative könntest du natürlich auch deine Resourcen (mehr RAM, mehr CPU, mehr Bandbreite) aufstocken. ;-)

Bedenke, dass der Log-Eintrag nicht zwingend auf eine bösartige Attacke zurückzuführen ist, sondern auch von einem falsch konfigurierten Endgerät ausgehen kann.

Mein Tipp: Beobachten und die Logs genau prüfen. Sind weitere Einträge vorhanden und kommen diese "Attacken" öfters vor: Siehe meine obigen Zeilen.

 

[jahlives]

wenn du snrot nicht auf den Router bringst, dann bringt es imho überhaupt nicht. Denn damit snort auf einem System im LAN diese Pakete abfangen könnte, müsstest du diese ja erst durch den Router durchlassen. Was ich ehrlich gesagt ziemlich sinnfrei fände, wenn man Pakete, die der Router verwirft durchleitet nur um sie hintendran wieder zu verwerfen