Camaleón wrote:
El Fri, 04 Jun 2010 01:51:03 +0200, Carlos E. R. escribió:
El 2010-06-03 a las 20:53 -0000, Camaleón escribió:
El cortafuegos sirve precisamente para eso.
Cualquier manual de seguridad te dirá que ante un ataque indiscriminado, la primera medida a tomar es cortar la comunicación con la IP desde donde se está originando las peticiones no gestionarla desde el servicio que está siendo atacado. Las soluciones "de evasión" (preventivas) no siempre son eficientes y deben complementarse con las reglas del cortafuegos. Y dale.
Y toma.
Es la aplicación atacada la que sabe, en tiempo real, que está siendo atacada y con qué tipo de ataque, y es ella la que debe ordenar la defensa.
La defensa puede ser un bloqueo de IP en el cortafuegos. La IP que diga la aplicación.
Las medidas disuasorias no siempre "f-u-n-c-i-o-n-a-n". En cualquier caso hay que usar el cortafuegos:
apache mod_evasive sucks as anti-ddos protection http://www.dslreports.com/forum/r20353461-apache-modevasive-sucks-as-antiddo...
Hasta los de Apache te lo dicen:
*** http://httpd.apache.org/docs/trunk/misc/security_tips.html#dos
Denial of Service (DoS) attacks All network servers can be subject to denial of service attacks that attempt to prevent responses to clients by tying up the resources of the server. It is not possible to prevent such attacks entirely, but you can do certain things to mitigate the problems that they create.
Often the most effective anti-DoS tool will be a firewall ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ or other operating-system configurations. For example, most firewalls can be configured to restrict the number of simultaneous connections from any individual IP address or network, thus preventing a range of simple attacks. Of course this is no help against Distributed Denial of Service attacks (DDoS). ***
Saludos,
Es como dice Camaleón. Carlos ¿de verdad tú te crees que por ejemplo un Tomcat sabe que "en tiempo real, que está siendo atacada y con qué tipo de ataque, y es ella la que debe ordenar la defensa"?? El tomcat no tiene ni idea de lo que pasa porque no es su función ni ha sido programado para ello ... Igual que apache. Mira la última línea que pone camaleón: "Of course this is no help against Distributed Denial of Service attacks (DDoS)." Mod_evasive y demás módulos apache ante un DDoS bien organizado se lo comen con patatas ... Es más el SO es mucho más efectivo que el propio apache para esto ... saludos. -- CL Martinez carlopmart {at} gmail {d0t} com -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org