Как я могу заблокировать гео DNS хост?
В настоящее время я пользуюсь бесплатным сервисом VPN, и в последнее время я получаю множество писем с сообщениями о злоупотреблениях от сети Sony Playstation, в которых говорится, что с IP-адресов моих серверов происходит грубое принуждение к API их учетных записей пользователей.
Email ниже:
Для предъявления по месту требования,
В соответствии с корпоративной политикой Sony Interactive Entertainment LLC ("SIE") указанные ниже IP-адреса были занесены в черный список при использовании наших услуг, поскольку SIE обнаружила действия, которые являются оскорбительными для наших сетевых служб. По нашему определению, злонамеренная деятельность не была связана со скоростью или объемом (многие пользователи за одним и тем же IP-адресом, то есть NAT), но соответствовала определенным схемам известного злоупотребления нашими общедоступными службами. Это может быть следствием того, что компьютер в вашей сети был взломан и участвует в злоупотреблении ботнетом наших служб.
Следующая таблица IP-адресов, дат и времени должна помочь вам сопоставить происхождение оскорбительного действия. Метки времени являются приблизительными из наших журналов. Фактическое время событий зависит от соответствия подписи. Скорее всего, это произошло до, во время и после указанного времени.
Приблизительный диапазон времени (UTC), IP-адрес, причина 2017-04-17 08:22 ~ 2017-04-17 08:52 (UTC),, Попытки захвата аккаунта
Скорее всего, трафик атаки направлен на одну из следующих конечных точек:
account.sonyentertainmentnetwork.com auth.np.ac.playstation.net auth.api.sonyentertainmentnetwork.com auth.api.np.ac.playstation.net
Эти конечные точки в нашей сети разрешаются с помощью Geo DNS, поэтому IP-адреса, к которым они разрешаются, будут зависеть от исходного IP-адреса.
Порт назначения будет TCP 443.
Пожалуйста, примите необходимые меры для скорейшего устранения вредоносной активности с вышеперечисленных IP-адресов, чтобы избежать дальнейших сбоев. Если мы удалим какой-либо из этих IP-адресов из черного списка, и последующее злоупотребление будет обнаружено, этот IP-адрес будет немедленно занесен в черный список.
Благодарим Вас за оперативное внимание к этому вопросу. Если вам требуется помощь или дополнительная информация, пожалуйста, свяжитесь с snei-noc-abuse@am.sony.com и укажите соответствующий IP-адрес.
Обычно я мог бы просто разрешить их DNS и заблокировать свои IP-адреса в iptables, чтобы пользователи-нарушители не могли даже подключиться к своему API, однако они упомянули, что используют GEO DNS, что делает практически невозможным точное определение всех их IP-адресов, поскольку вам придется разрешить их DNS со всего мира, чтобы получить их (даже тогда, это просто предположение, если у вас есть все).
Есть ли у меня какие-либо другие варианты, чтобы заблокировать вышеуказанные имена хостов, которые имеют GEO DNS?
2 ответа
Предоставление бесплатного VPN-сервиса, возможно, без проверки пользователей, как правило, вызывает такие проблемы. В целом, Sony Interactive Entertainment LLC, возможно, не единственная жертва, но они достаточно любезны, чтобы сообщить вам о проблеме. Если вы просто хотите решить проблему для них, они уже предприняли достаточно действий, заблокировав ваш IP.
Если вам небезразлична репутация вашего сервиса и вашего блока IP / IP, вы должны попытаться предотвратить злоупотребления в более широком масштабе. Поскольку ваш сервер не скомпрометирован, вы можете использовать его для мониторинга трафика. Существует несколько инструментов обнаружения вторжений с открытым исходным кодом, например Snort, Suricata и Bro-IDS. Другой вариант заключается в том, чтобы иметь какое-то унифицированное устройство UTM для управления угрозами между вашим сервером и Интернетом, автоматически блокируя вредоносные соединения. В любом случае, эти инструменты предназначены не только для защиты вас от дикого Интернета, но и для защиты Интернета от злонамеренных действий, которые происходят через ваш сервис.
Как уже упоминалось в Sony, брандмауэр для географически распределенной службы, вероятно, будет невыполнимой задачей - они используют географически разрешенный DNS (как и большинство крупных организаций с глобальной инфраструктурой) для направления клиентов на ближайшую к ним конечную точку.
Я рекомендую выяснить, какие клиенты направляют трафик на эти конечные точки, и заблокировать их. Свободно или нет, не следует допускать злоупотребления на любом сервисе.