Hoi

Afgelopen vrijdag werden we waarschijnlijk overvallen door ddos (of onze site moet ineens een enorme populariteit hebben gehad maar daar ga ik, gezien de content niet echt vanuit) Gevolg: Server bijna plat.
Onze server host 2 sites. Op beide kwamen onnoemelijk veel aanvragen binnen: port 80. Ook port 53 DNS kreeg het zwaar te verduren (zo leek het).
Platform is W2K IIS 5.0 met alle patches en servicepacks tot nu toe available.
Wat ik zo raar vind is dat het leek alsof de ddos werd ingezet door een IP address uit onze range (DMZ). Als ik vanuit ons eigen netwerk (LAN) 192.168.100.xxx met aansluiting via proxy naar internet, dit ip address ping, krijg ik een request timed out (de andere adressen uit deze range zijn wel te pingen, mits aangesloten). Ook als ik vanaf een machine in de dmz het ip address ping krijg ik hetzelfde resultaat. Bel ik echter in via een zonnet account, is dit ip address keurig te pingen en geeft ie ook een reply.
Kort gezegd... het lijkt alsof iemand een ip adres gebruikt uit onze range.
Normaal gesproken zou dit nummer te pingen moeten zijn.. zeker vanuit dezelfde range... Als dit nummer zich ergens anders op het internet bevindt, vind er toch geen routing plaats? Als ik een tracert doe via dat zonnet accountje, komt ie uit bij ons aansluitpunt op de router (wij hebben een directe lijn naar internet) Dit zou dus betekenen dat deze machine zich WEL in ons netwerk zou bevinden...
Ik heb ons hele netwerk op zijn kop gezet maar niets van dat alles....

Nu voelen jullie het al aankomen natuurlijk....
Iemand dit eerder meegemaakt of iemand ENIG idee wat dit kan zijn...
Degene met dit IP address is aardig actief gezien het feit dat we op gezette tijden enorm veel aanvragen krijgen...

boven mijn hoofd zweven inmiddels heel veel ?????

Alvast bedankt,

Sev