Garip bir saldırı

Merhabalar arkadaşlar, 2000-2500 anlık onlinesi olan bir oyun sunucusuna sahibim. Ancak son 2 gündür başıma yeni bir saldırı türedi, nedenini bulamıyorum. OVH kullanıyorum DDOS korumasını zaten veriyorlar. Saldırı başladığında CPU lar bir anda %70 - 80 - 90 ve 10 saniye sonra %100 e fırlıyor. Saldırıyı yapan kişi istediği zaman saldırıyı kesip tekrar saldırıyor. Bu sabah 2 saat sunucu bu durumdaydı, şuanda tekrar oluyor bu şey. Sunucu SSH sinde vesayre kesilme yok, sunucuya kurulu diğer şeyler etkilenmiyor, sadece 25565 portuna yapılan saldırı ney ise ona bağlı olan tüm işlemciler %100 e fırlıyor.

konuyu yanlış yere açtıysam kusuruma bakmayın.

saldırı anında
tcpdump -n dst port 25565 -w /home/saldiri.pcap
bu komut ile trafiği kaydedin, çok uzun kaydetmenize gerek yok.
Dosyayı bir yere yüklerseniz inceleyebiliriz

Öncelikle geçmiş olsun hocam. 25565 Portu minecraft portu sanırım. Anlattığın saldırı türü genelde ack yada syn türü saldırılarda meydana gelmektedir. Sunucuyla olan bağlantın kesilmiyorsa saldırı geldiği an yapılacak bir tcpdump ile yazılacak rule saldırıyı engelleyebilir. Skype adresinizi pm atarsanız yardımcı olabiliriz.

Şunu belirteyim tüm TR oyun serverlarına saldırı mevcut. CS GO oyununda önemli 4 oyun ip sinede saldırı var 2 haftadır sürekli saldırı mevcut.

Bu doğru bir bilgi değil. Ankara 'da yaşayan ve internet trafiği Ankara üzerinden geçen kullanıcıların yüksek erişim süresi görmesinin sebebi direk olarak istanbula bağlanamamasından kaynaklanıyor. Ankara 'daki ADSL kullanıcıları İstanbuldaki herhangi bir noktaya bağlanmak için ilk önce Samsun - Çarşamba daha sonra İstanbula geçiyor bu da erişim sürelerini ~13ms 'den ~35 ms 'e yükseltiyor. Ayrıca Ankara'daki bu problem sadece İstanbuldaki veri merkezleri için geçerli değil, Bursa ve Denizli konumlu veri merkezlerinde de geçerli.

Ek olarak İstanbul - Levent POP noktasındaki bitmeyen problemler zinciri Radore 'den hizmet alan oyun sunucusu firmalarını ciddi anlamda zor durumda bırakıyor.

bizim işimize de yarıyabilir logları nasıl görüntüleyeceğiz pm atabilirmisiniz açıyorumda õT½€qK6 tarzında karakterler var tşk ederim

@porelux;
windows ortamında wireshark isimli program ile inceleyebilirsiniz.

@Genki; hocam anlattığınız saldiri.pcap nasıl görüntüleyebiliriz

Bahsettiğiniz dosya;

https://yadi.sk/d/50_kcA5EasqSG

Bugün yine arkadaş saldırıya başladı, ve buseferki saldırıda 2-3 saniyede bir ping kesiliyor. OVH danmı kaynaklı anlayamadım. Ve birde

netstat -an | grep :80 | wc -l

şu komutu yazdıgımda çıkan sonuç 5 yazıyor. Halbuki benim 80 portuyla alakam yok.

netstat -an | grep SYN_REC

bu komutu yazdığımda Çinden bir sunucunun 22 portuna bağlanmaya çalıştığını gördüm. Kullanmadığım tüm portları kapatsam bana yararı olabilirmi ?