Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Mögliche BF Attacke gegen meinen Mail Server

Frage Sicherheit Erkennung und -Abwehr

Mitglied: greatmgm

greatmgm (Level 1) - Jetzt verbinden

19.08.2013 um 14:09 Uhr, 1958 Aufrufe, 5 Kommentare

Hallo zusammen,

ich habe einen eigenen Mailserver im Netz stehen. Darauf läuft ein CentOS 6 mit dovecot/fetchmail.
Beim Lesen diverser logs stoße ich auf die /var/log/secure

und mir schwant da eine bruteforce-attacke von unseren gelben Freunden
Im 5 Minutentakt wird hier ein login über ssh mit den Nutzer root versucht ...

das ganze von der Adresse ... 61.175.212.62 ... und da hinter steht die www.cn12333.gov.cn


Da root bei mir nicht gelistet ist als AllowedUser, kommen dann entsprechende Fehler

hier mal das Log das sich alle 5 Minuten wiederholt:

Aug 19 14:19:08 meinserver sshd[pid]: user root from 61.175.212.62 not allowed because not listed in AllowUsers
Aug 19 14:19:08 meinserver sshd[pid]: input_userauth_request: invalid user root
Aug 19 14:19:08 meinserver sshd[pid]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.175.212.62 user=root
Aug 19 14:19:08 meinserver sshd[pid]: Failed password for invalid user root from 61.175.212.62 port 13742 ssh2
Aug 19 14:19:08 meinserver sshd[pid]: Received disconnect from 61.175.212.62: 11: Bye Bye


Das Log besteht zu 99% aus solchen Einträgen, die IP wechselt manchmal, aber nie am selben Tag (scheinen dort auch so eine Provider-DynIP zu haben)
Beispiel: 114.135.15.242 ... landet auch im Land der aufgehenden Sonne

Muß ich mir jetzt noch irgendwelche Gedanken machen, soll ich Firewall mäßig vielleicht gleich noch den IP Bereich sperren ?

Danke für Antworten/Hinweise.









Mitglied: Alchimedes
19.08.2013, aktualisiert um 16:47 Uhr
Hallo,


das ist Standard grundrauschen..... Zuerst werden in einem IP-Bereich die Services gescannt->
hier also ssh (port 22) danach automatisierter Scripkiddiescheissdreck abgelassen....
Dadurch das root bei Dir schonmal nicht darf wird es auch nichts mit dem Versuch aus yellowcountry.

Ich hab hier bei 2 Servern nen fail2ban laufen.

Gruss

Nachtrag:

Du kannst den ssh Zugang ja via Firewall nur aus einem bestimmten IP-Bereich zulassen.
Bitte warten ..
Mitglied: 16568
19.08.2013, aktualisiert um 18:24 Uhr
Und die passenden iptables-Regeln dazu findet man in meinem Blog unter der Kategorie: Blacklists


Lonesome Walker
Bitte warten ..
Mitglied: Alchimedes
19.08.2013, aktualisiert um 23:15 Uhr
Hey LW

versteh den Link nicht dazu...
und die BL nuetzt nichts wenn Du Kunden aus dem IP Bereich hast.

Ausserdem sind die Iptables Regeln 0/8 15 nichts was wirklich hilft.

Gruss
Bitte warten ..
Mitglied: 16568
20.08.2013 um 06:50 Uhr
Zitat von Alchimedes:
versteh den Link nicht dazu...

Tja, dann ist dieses Wissen nicht für Dich bestimmt.

und die BL nuetzt nichts wenn Du Kunden aus dem IP Bereich hast.

Leaseweb??? Und nur die wenigsten Firmen in DE haben asiatische Kunden.
Die müssen dann halt Abstriche machen.

Ausserdem sind die Iptables Regeln 0/8 15 nichts was wirklich hilft.

So so, ah ja...


Lonesome Walker
Bitte warten ..
Mitglied: greatmgm
20.08.2013 um 08:01 Uhr
Ah super , danke dir

dann hau ich den ip Bereich weg,
die sollen da unten gar nicht wissen das es den Server hier gibt
Stellt euch mal eine Welt ohne dieses Grundrauschen vor, das inet wäre min. 1/3 schneller
Bitte warten ..
Ähnliche Inhalte
Microsoft Office
Umzug Mail Server (3)

Frage von PascalSt zum Thema Microsoft Office ...

Windows 7
Mail(server?) gesucht-Hilfe erbeten (5)

Frage von Estrichleger zum Thema Windows 7 ...

Exchange Server
gelöst Exchange 2016 Standard Server 2012 R2 Hetzner Mail (41)

Frage von Datsspeed zum Thema Exchange Server ...

Neue Wissensbeiträge
Batch & Shell

Batch - ein paar Basics die man kennen sollte

Tipp von Pedant zum Thema Batch & Shell ...

Microsoft

Restrictor: Profi-Schutz für jedes Window

(6)

Tipp von AlFalcone zum Thema Microsoft ...

Batch & Shell

Batch zum Zurücksetzen eines lokalen Profils

Tipp von Mr.Error zum Thema Batch & Shell ...

Heiß diskutierte Inhalte
Windows Server
Benutzer lässt sich nur an einem Clientcomputer anmelden (11)

Frage von Ammann zum Thema Windows Server ...

Hosting & Housing
gelöst Webserver bei WIX, aber DNS Server wo anders (9)

Frage von laster zum Thema Hosting & Housing ...

Batch & Shell
gelöst Gruppenzugehörigkeit von AD Usern ermitteln - die Perfektion fehlt (9)

Frage von Stefan007 zum Thema Batch & Shell ...