Bekijk Volledige Versie : Aanval op MSSQL?
Setup:
WSRV2008 met laatste updates, Plesk 9.2.3 Win
Ik kom in de eventlogs steeds pogingen tegen om in te loggen op mijn MSSQL:
Login failed for user 'sa'. [CLIENT: 78.111.71.80]
Meer dan 4 keer per seconden dus waarschijnlijk opzoek naar het PW.
Gisteren was het een andere russische site.
Ik blok de IP adressen in de Firewal en op IIS dynamic IP restrictions maar ik blijf de meldingen zien en dus komt hij er ergens toch door.
Ik heb even geprobeerd om externe verbindingen voor MSSQL uit te zetten maar dan werkt mijn Plesk Cpanel niet meer.
Iemand nog een suggestie?
Bastiaan
GlobalServe
21/11/09, 11:20
Blokkeer poort 1433 TCP en UDP op incomming connectie
Wat je kan doen is externe verbinding aan laten staan en alleen bepaalde IP's toegang te geven op die poorten.
Joeri's oplossing lijkt te werken, kreeg net nog een heel stel anderen over de vloer die allemaal 'admin' 'sa' en 'root' gingen proberen.
Toch vind ik het vreemd dat een block rule in de MS firewall deze externe IP adressen niet afstopt. Ingegeven poorten werken dus wel meteen.
Zelfs met een full block op de poorten blijft Plesk panel wel gewoon doordraaien via https.
Ondertussen wel nieuwsgierig of iemand al een lijstje heeft aangelegd welke poorten het beste dicht kunnen. Toch ook maar weer eens een portscan proberen.
Lijkt allemaal mooi zo, bedankt voor jullie (snelle) reactie.
GlobalServe
21/11/09, 11:44
Als je een firewall insteld, zet je er niet in wat moet geblokkeer worden, maar zet je er in wat er door mag. Zo ga je nooit iets missen.
Ja dat ben ik met je eens, echter ik heb in de MS firewall de MSSQL (standaard) rules uit staan. Maar pas het instellen van een handmatig block op de poorten lijkt het te stoppen.
Je zou toch zeggen dat als je een extern IP blocked, dit altijd boven andere regels zou moeten gaan.
Overigens deed ik net een portscan en lijkt het of 1433 nog steeds open staat. Lastig checken zo....
Het wordt nog gekker: Ik zag dat er op de netwerk verbinding ook een optie windows firewall zit. Als ik die aanzet, gaat de "Windows Firewall with advanced security" uit maar geeft de poortscan eindelijk aan dat de poorten geblokt worden.
Vreemde zaak. Ben bang dat ik dit weekend er een taak bij heb....
In de Win2008 firewall staan heel wat poorten open die niet nodig zijn. Alle rules verwijderen en de firewall op block zetten zodat alles dichtstaat. Daarna systematisch poorten toevoegen voor degenen die je echt gebruikt.
Indien je dit vanop afstand doet, voeg dan eerst een regel toe voor TCP 3389 zodat je er nog via RDP aankan ;)