Author: weril

Network, Security: DoS/DDoS

  • Самые мощные атаки РФ (по миру актуальная атака на клиента CF 8 tbps в конце статьи): 150 гбит / 1.5 терабит ; 15 MPPS / 150 MPPS ; сутки / трое в 2023 / 2024 соответственно

The Cybersecurity and Infrastructure Security Agency (CISA), the Federal Bureau of Investigation (FBI), and the Multi-State Information Sharing and Analysis Center (MS-ISAC) are releasing this joint distributed denial-of-service (DDoS) attack guidance
  • Очень хороший мануал от Juniper с описанием атак и методов защиты от них в JunOS
  • БИФИТ Mitigator – Российское решение на базе стандартных серверов
  • Статья по тюнингу параметров ядра Linux для большей устойчивости в DoS/DDoS сценариях (настройки серверные)
  • Некоторое саммари:
    • сценариев DoS атак не мало, даже в крупных провайдерах регулярно происходят инциденты, связанные с падением каких-то сервисов из-за DoS (BRAS – от внешнего флуда, от внутреннего флуда/запросов)
    • для базы защиты можно и самому fastnetmon поднять, а от target атаки за много $$$ и radware/arbor не спасет, только центры очистки или свой cdn грамотный (и то не всегда)
    • линк с чисткой может легко стоить х10 и х100 от обычного

 

DOS/DDOS теория

DOS/DDOS (dns lookup, half-open attacks like syn flood; ddos = dos + botnet => flood guard) – отправляем большое количество каких-либо пакетов/запросов/ответов для отказа в обслуживании сервиса из-за нехватки ресурсов (процессинговых, памяти, сетевых и проч).

Читать дальше

Security: основная статья

Карта РФ ИБ

База

Коварно ввели admin/admin, обстоятельства непреодолимой силы не позволяли обновить php, хак утилита cat и привилигерованный контейнер 🤣😁

https://disk.yandex.ru/i/Pn4ToLvOz7pMVg

Интерактивные карты кибератак в реальном времени


Пару примеров о том, что детально описано ниже, до огромной статьи.

Читать дальше

Linux: работа с сетью (маршрутизация, arp, performance, etc)

Общее
  • Общая концепция – “net-tools deprecated, use iproute2” из-за ряда проблем с net-tools. Из крутого iproute2 позволяет с помощью netns делать в Linux полноценные vrf.


Читать дальше

Artificial Intelligence (AI): Machine learning (ML), Deep Learning (DP); оценка эффективности ML моделей


  • Чат боты с которыми работал/работаю
    • Grok
    • ChatGPT
    • Gemini
    • Perplexity
    • Qwen
  • https://nof1.ai/
Программист Jay A устроил соревнование «AI Trading Showdown».

Шестерым нейронкам дали по $10’000 и заставили торговать на Hyperliquid.

Текущие результаты (https://nof1.ai/) доходности:
🟠Deepseek: +39%
🟠Grok: +34%
🟠Claude: +24%
🟠QWEN: +8%
🟠ChatGPT: -27%
🟠Gemini: -30%
  • На концерте Massive Attack запустили видео с распознанием лиц людей из зала в реальном времени.


Читать дальше

Network: FHRP protocols (HSRP, VRRP, GLBP) and Anycast Gateway

TODO: Нужно перенести из IT.

 

Anycast gateway

Примеры:

1 (same MAC):

https://rayka-co.com/lesson/5-vxlan-anycast-gateway/

anycast gateway configuration

IMG_3623.png

Cisco (same IP & MAC):

When multiple leaf switches act together as one single distributed default gateway for the same VLAN, the VLAN IP address remains the same across all the leaf switches, and acts as the gateway IP address for a host that tries to reach an IP address outside its subnet.


Читать дальше

Network, Linux: link aggregation, LAG, portchannel, lacp, aggregated ethernet, MLAG, VPC, teaming, bonding, rtag7, lacp prenegotiation

  • Энтропия hash в зависимости от адресной информации – важный вопрос при распределении трафика. Подробнее в RSS.
  • У Juniper есть mixed rates aggregated ethernet, который позволяет объединить в LAG порты с разной сокрости, причем используя по максимуму пропускную способность каждого порта, пересчитывая соответственно hash.


Читать дальше

Популярные WEB сервера и заметки о них (apache/httpd, nginx)

Сравнение можно посмотреть тут

  • nginx; tengine (alibaba nginx)
  • apache
  • iis (deprecated)
  • apache tomcat

Apache обычно используется для отдачи статики, nginx для динамики. Данный блог на apache, проблем из-за этого не было.

 

basic auth

Самая простая/базовая (очевидно) аутентификация клиента сервером. На запрос аутентификации креды отсылаются закодированными (не зашифрованными/захешированными) base64.

Читать дальше

Network: BGP общее, реализации (QUAGGA, BIRD, FRRouting); iWAN/PfR in Global Routing

  • Summary видео
    • OMG 🙂 Белый дом решил заняться BGP Biden-⁠Harris Administration Releases Roadmap to Enhance Internet Routing Security
    • BGP изначально построен по принципу доверия инженеру, настраивающему его
    • Множество аварий связанных с BGP, включая утечки маршрутов
      •  
      • в 2008 падал youtube 
      • в 2018 amazon S3 dns трафик перенаправлен ; вопровство денег из криптокошельков
      • в 2021 падал facebook/insta
    • ответом в том числе по мнению белого дома является использование RPKI для валидации коррекности принимаемой информации; при этом он плохо применяется в USA (30%) в сравнении с Европой (70%)

  • CheatSheet
  • Полезные ссылки – построение графов, список соседей по пирингу, префиксы и проч
    • bgp.he.net


Читать дальше

Network: OSPF

  • cheatsheet
  • OSPF использует в качестве метрики только пропускную способность (bandwidth).

  • OSPF не использует UDP или ТСР. OSPF-маршрутизаторы взаимодействуют с использованием IP-пакетов. Сообщения OSPF передаются внутри IP-пакетов с использованием номера протокола IP 89.

  • Не совсем корректно с точки зрения таймаута (30 мин lsrefreshtime), но в целом проблематика ospf выглядит потенциально реальной на каналах с потерями, важно что lsa сгенерируется один раз, а hello в среднем три до dead, т.е.


Читать дальше