Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Mögliche BF Attacke gegen meinen Mail Server

Frage Sicherheit Erkennung und -Abwehr

Mitglied: greatmgm

greatmgm (Level 1) - Jetzt verbinden

19.08.2013 um 14:09 Uhr, 1920 Aufrufe, 5 Kommentare

Hallo zusammen,

ich habe einen eigenen Mailserver im Netz stehen. Darauf läuft ein CentOS 6 mit dovecot/fetchmail.
Beim Lesen diverser logs stoße ich auf die /var/log/secure

und mir schwant da eine bruteforce-attacke von unseren gelben Freunden
Im 5 Minutentakt wird hier ein login über ssh mit den Nutzer root versucht ...

das ganze von der Adresse ... 61.175.212.62 ... und da hinter steht die www.cn12333.gov.cn


Da root bei mir nicht gelistet ist als AllowedUser, kommen dann entsprechende Fehler

hier mal das Log das sich alle 5 Minuten wiederholt:

Aug 19 14:19:08 meinserver sshd[pid]: user root from 61.175.212.62 not allowed because not listed in AllowUsers
Aug 19 14:19:08 meinserver sshd[pid]: input_userauth_request: invalid user root
Aug 19 14:19:08 meinserver sshd[pid]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.175.212.62 user=root
Aug 19 14:19:08 meinserver sshd[pid]: Failed password for invalid user root from 61.175.212.62 port 13742 ssh2
Aug 19 14:19:08 meinserver sshd[pid]: Received disconnect from 61.175.212.62: 11: Bye Bye


Das Log besteht zu 99% aus solchen Einträgen, die IP wechselt manchmal, aber nie am selben Tag (scheinen dort auch so eine Provider-DynIP zu haben)
Beispiel: 114.135.15.242 ... landet auch im Land der aufgehenden Sonne

Muß ich mir jetzt noch irgendwelche Gedanken machen, soll ich Firewall mäßig vielleicht gleich noch den IP Bereich sperren ?

Danke für Antworten/Hinweise.









Mitglied: Alchimedes
19.08.2013, aktualisiert um 16:47 Uhr
Hallo,


das ist Standard grundrauschen..... Zuerst werden in einem IP-Bereich die Services gescannt->
hier also ssh (port 22) danach automatisierter Scripkiddiescheissdreck abgelassen....
Dadurch das root bei Dir schonmal nicht darf wird es auch nichts mit dem Versuch aus yellowcountry.

Ich hab hier bei 2 Servern nen fail2ban laufen.

Gruss

Nachtrag:

Du kannst den ssh Zugang ja via Firewall nur aus einem bestimmten IP-Bereich zulassen.
Bitte warten ..
Mitglied: 16568
19.08.2013, aktualisiert um 18:24 Uhr
Und die passenden iptables-Regeln dazu findet man in meinem Blog unter der Kategorie: Blacklists


Lonesome Walker
Bitte warten ..
Mitglied: Alchimedes
19.08.2013, aktualisiert um 23:15 Uhr
Hey LW

versteh den Link nicht dazu...
und die BL nuetzt nichts wenn Du Kunden aus dem IP Bereich hast.

Ausserdem sind die Iptables Regeln 0/8 15 nichts was wirklich hilft.

Gruss
Bitte warten ..
Mitglied: 16568
20.08.2013 um 06:50 Uhr
Zitat von Alchimedes:
versteh den Link nicht dazu...

Tja, dann ist dieses Wissen nicht für Dich bestimmt.

und die BL nuetzt nichts wenn Du Kunden aus dem IP Bereich hast.

Leaseweb??? Und nur die wenigsten Firmen in DE haben asiatische Kunden.
Die müssen dann halt Abstriche machen.

Ausserdem sind die Iptables Regeln 0/8 15 nichts was wirklich hilft.

So so, ah ja...


Lonesome Walker
Bitte warten ..
Mitglied: greatmgm
20.08.2013 um 08:01 Uhr
Ah super , danke dir

dann hau ich den ip Bereich weg,
die sollen da unten gar nicht wissen das es den Server hier gibt
Stellt euch mal eine Welt ohne dieses Grundrauschen vor, das inet wäre min. 1/3 schneller
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
Windows 7
Mail(server?) gesucht-Hilfe erbeten (5)

Frage von Estrichleger zum Thema Windows 7 ...

Exchange Server
gelöst Exchange Server Mail senden (5)

Frage von MorrowToon zum Thema Exchange Server ...

E-Mail
gelöst Absender E-Mail Adresse ändern in Lotus Notes (Domino Server) (2)

Frage von Hendrik2586 zum Thema E-Mail ...

E-Mail
Plesk 17 - E-Mail zurückgestellt in Warteschlange

Frage von ZeldaFreak zum Thema E-Mail ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

SAN, NAS, DAS
gelöst HP-Proliant Microserver Betriebssystem (14)

Frage von Yannosch zum Thema SAN, NAS, DAS ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Windows 7
Verteillösung für IT-Raum benötigt (12)

Frage von TheM-Man zum Thema Windows 7 ...