<html>
<head>
<meta content="text/html; charset=ISO-8859-1"
http-equiv="Content-Type">
</head>
<body bgcolor="#FFFFFF" text="#000000">
Hola Francisco,<br>
<br>
entiendo que las consultas de esta supuesta botnet llegan a tus DNS
recusivos verdad ? No puedes simplemente filtrar el trafico DNS
hacia tus recursivos y permitir unicamente el que viene de tus redes
? <br>
<br>
No me refiero a denegar la recursion en BIND sino a filtrar
completamente el trafico, de tal manera que no cargue al servidor.<br>
<br>
s2<br>
<br>
Carlos<br>
<br>
On 5/31/12 5:31 PM, Francisco Vargas Piedra wrote:
<blockquote
cite="mid:956C9CAAF4A240448746DF9626066ADC9D1E1298@SABEXCH01.teletica.local"
type="cite">
<meta http-equiv="Content-Type" content="text/html;
charset=ISO-8859-1">
<meta name="Generator" content="Microsoft Word 14 (filtered
medium)">
<style><!--
/* Font Definitions */
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
{font-family:Tahoma;
panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0cm;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri","sans-serif";
mso-fareast-language:EN-US;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:blue;
text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
{mso-style-priority:99;
color:purple;
text-decoration:underline;}
p.MsoAcetate, li.MsoAcetate, div.MsoAcetate
{mso-style-priority:99;
mso-style-link:"Texto de globo Car";
margin:0cm;
margin-bottom:.0001pt;
font-size:8.0pt;
font-family:"Tahoma","sans-serif";
mso-fareast-language:EN-US;}
span.EstiloCorreo17
{mso-style-type:personal-compose;
font-family:"Calibri","sans-serif";
color:windowtext;}
span.TextodegloboCar
{mso-style-name:"Texto de globo Car";
mso-style-priority:99;
mso-style-link:"Texto de globo";
font-family:"Tahoma","sans-serif";}
.MsoChpDefault
{mso-style-type:export-only;
font-family:"Calibri","sans-serif";
mso-fareast-language:EN-US;}
@page WordSection1
{size:612.0pt 792.0pt;
margin:70.85pt 3.0cm 70.85pt 3.0cm;}
div.WordSection1
{page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
<div class="WordSection1">
<p class="MsoNormal">Buenas tardes,<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Mi nombre es Francisco Vargas y soy
ingeniero de una compañía de cable. Estoy encargado de la
administración de los DNS.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">He recibido un ataque que consistió en la
saturación de mis servidores a través de peticiones a
“ripe.net”. Parece ser una especie de botnet que se propagó
por varios CPUs (108 direcciones IP consultaban desmedidamente
hacia ese dominio) de nuestros clientes. Mis DNSs están
configurados con Bind y la plataforma sólo responde a las
direcciones IP de nuestros clientes.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">¿Alguien sabe de algún virus que pueda
causar este tipo de problemas? Otro punto importante es que se
activó en el mismo momento; es decir, parece que el botnet
pudo haber sido activado a través de un C&C.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Justo antes del ataque logré capturar esta
petición sospechosa (que fue denegada):<o:p></o:p></p>
<p class="MsoNormal"
style="mso-margin-top-alt:auto;mso-margin-bottom-alt:auto"><span
lang="EN-US">May 28 11:53:21 XXXXXXXX named[5841]: client
80.82.70.138#53: query (cache) '<a moz-do-not-send="true"
href="http://ripe.net/ANY/IN" target="_blank">ripe.net/ANY/IN</a>'
denied</span><o:p></o:p></p>
<p class="MsoNormal"
style="mso-margin-top-alt:auto;mso-margin-bottom-alt:auto"><span
lang="EN-US">May 28 11:28:15 XXXXXXXX named[4367]: client
80.82.70.138#53: query (cache) '<a moz-do-not-send="true"
href="http://ripe.net/ANY/IN" target="_blank">ripe.net/ANY/IN</a>'
denied</span><o:p></o:p></p>
<p class="MsoNormal">Además las peticiones que inundaron mis
servidores eran de la siguiente forma (elimino la dirección IP
por no ser de interés):<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><span lang="EN-US">29-May-2012 14:53:11.185
client DIRECCION_IP#32768: query: ripe.net IN ANY +ED
(DIRECCION_IP_DE_NUESTRO_SERVER)<o:p></o:p></span></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Quisiera alguna retroalimentación; en estos
momentos estoy controlando el ataque mediante listas de acceso
que deniegan solicitudes de estos clientes.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">¿Alguien sabe alguna forma de hacer que
Bind deniegue respuestas a IPs que hacen peticiones
desmedidas? ¿O alguna forma de control similar?<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">LES RUEGO AYUDARME CON ESTE ASUNTO.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">Saludos,<o:p></o:p></p>
<p class="MsoNormal">Ing. Francisco Vargas<o:p></o:p></p>
</div>
<br>
<fieldset class="mimeAttachmentHeader"></fieldset>
<br>
<pre wrap="">_______________________________________________
dns-esp mailing list
<a class="moz-txt-link-abbreviated" href="mailto:dns-esp@listas.nic.cl">dns-esp@listas.nic.cl</a>
<a class="moz-txt-link-freetext" href="https://listas.nic.cl/mailman/listinfo/dns-esp">https://listas.nic.cl/mailman/listinfo/dns-esp</a>
</pre>
</blockquote>
</body>
</html>