Problemi connettivita'

[Jaki]

Comunicato da parte di Aruba.it

Nei giorni indicati si sono verificati problemi con la connettivita' della WebFarm di Arezzo che ha coinvolto tutti i servizi da questa erogati.

Abbiamo individuato la causa dei problemi in un massiccio attacco DDOS rivolto verso i nostri server che ha generato un traffico malizioso di circa 500Mbit/s costanti (con punte di piu' di 3Gbit/s) verso alcune macchine e verso il firewall in particolare.

Purtroppo, a causa di un bug nel sistema operativo del Firewall Cisco, questa macchina si e' riavviata frequentemente bloccando di fatto il traffico in ingresso ed uscita della webfarm.

In questo momento stiamo cercando di respingere l'attacco non solo all'ingresso della nostra webfarm, ma anche all'ingresso della rete dei nostri fornitori. L'operazione non e' semplice visto che trattandosi di un attacco DOS distribuito ci sono migliaia di sorgenti e non una sola (che risulterebbe facilmente individuablie e bloccabile).

Stiamo inoltre cambiando sistema operativo (IOS) alle macchine coinvolte in modo che anche in presenza di traffico di questo tipo non si verifichino problemi. Bug a parte, la struttura tecnica e' dimensionata per sopportare traffici ben superiori.

Per terminare tutte le modifiche saranno necessari ulteriori brevi fermi di cui al momento non riusciamo a prevedere l'orario. Tutte le operazioni non urgenti saranno concentrate fra le 4 e le 5 di questa notte.

Non abbiamo dato prima comunicazione dell'avvenuto per non provocare ulteriori attacchi o tentativi di ingresso nei momenti in cui il sistema di firewalling non era attivo o era malfunzionante.

Ci scusiamo con tutti i nostri clienti per il disagio arrecato : stiamo facendo tutto il possibile per risolvere il non semplice problema nel minor tempo possibile.

--------------------
Saluti
--------------------

Aruba.it

[Jaki]

Comunicato da Aruba.it:

"L'applicazione di tutti i filtri e l'aggiornamento di tutte le macchine e' appena terminato.

La connettivita' e' nuovamente distribuita fra tutti i circuiti disponibili.

Le altre operazioni verranno eseguite fra le 4 e le 6 di questa notte 01 Ottobre 2004, ma non sono al momento previsti ulteriori fermi completi.

--------------------
Saluti
--------------------

Aruba.it

[Jaki]

Comunicato da Aruba.it

"Stiamo procedendo con l'attivazione di filtri che permettano l'accesso ai webserver colpiti dall'attacco solo da reti autorizzate.

Rimarranno per il momento filtrate le reti dei provider e dei carrier da cui proviene la maggior parte del traffico. Non sono coinvolti provider o carrier italiani."

--------------------
Saluti
--------------------

Aruba.it

[Jaki]

Comunicato da Aruba.it

"Stiamo procedendo con l'ottimizzazione dei filtri in modo da lasciare filtrate solo le reti dalle quali proviene ancora una certa mole di traffico.

I filtri interessano solo alcune nostre macchine e non il traffico in genere.

Si tratta comunque di reti di paesi dai quali normalmente proviene un traffico irrisorio.

Per quanto riguarda i nostri apparati di rete stiamo modificando la configurazione per prevenire eventuali modifiche del tipo di attacco o della sua provenienza.

Purtroppo il bug che ha causato i problemi non era noto e comunque non si trattava di una vera e propria "vulnerabilita'" (bug relativo alla sicurezza).

Si trattava di una condizione di errore grave (tale da causare il riavvio) in presenza di un numero abnorme di pacchetti e di connessioni simultanee, cosa che si e' verificata proprio in questo tipo di attacco."

--------------------
Saluti
--------------------

Aruba.it