Bekijk Volledige Versie : Dictionary attack op domein
Eén van onze shared webhosting klanten zijn domeinnaam staat al sinds dag 1 dat hij verhuisd naar ons onder een email dictionary attack.
Waarschijnlijk zal dit al langer aan de gang zijn, aangezien het onmiddellijk gestart is sinds de nameservers veranderd zijn naar de onze.
De laatste maanden waren dit er +/- 4000 per dag.
Allemaal bijna namen.
jan@domein.com
bert @domein.com
...
De adressen bestaan ook niet en worden dus gereject door exim.
Aangezien het telkens van adere ip's komt, heb ik er tot op heden weinig kunnen aan doen, hopend dat dit op een dag zou stoppen of afnemen.
Nu de laatste week gebeurt het tegendeel. De aanval is gestegen naar ongeveer 9000 per dag.
Zijn hier manieren om dit efficient tegen te gaan?
bedankt.
Er zijn allerlei technieken om de impact van dictionary attacks te minimaliseren. Vanuit onze ervaring blijft het echter uit nieuwe IP adressen terugkomen en kan je er beter voor zorgen dat met minimale resources de requests simpelweg worden afgehandeld. Meestal zijn het "vlagen" afhankelijk van het botnet dat ze uitvoert. Meestal neemt het niet na verloop van tijd af.
Vanaf hoeveel IPs zie je het per dag voor bij komen? Ik heb geen idee hoe vaak het bij ons voor komt om eerlijk te zijn, het enige dat ik weet is dat het bij ons na 5 inlog pogingen binnen XX uur een drop in de firewall voor een periode van XX dagen geeft. Dit is natuurlijk geautomatiseerd en gebeurd binnen enkele minuten.
Mocht je meerdere verzoeken (ten minste 50 tot 100) vanaf hetzelfde IP voor bij zien komen dan is het misschien een optie dat ook te gaan doen (mocht het om inlogpogingen gaan), anders is de enige optie de hoeveelheid resources minimaliseren en kijken of er overeenkomsten zijn. Mocht het via SMTP (zonder login) gaan dan is er mogelijk een logica in de HELO of rDNS te vinden waar je iets mee kunt doen, met name een HELO check hoeft weinig resources te kosten lijkt mij (ten minste bij Postfix, geen idee hoe dat met Exim zit).
Bedankt voor de reacties.
Van elk ip wordt worden er tussen de 50-300 emails gestuurd naar niet bestaande email adressen van éénzelfde domeinnaam.De ip's komen zijn steeds nieuwe. Onze mailserver verwerpt deze natuurlijk omdat de email adressen niet bestaan en stuurt deze reject door naar de smtp server vanwaar ze worden uitgestuurd. Qua resources neemt dit niet veel in, maar het aantal blijft blijkt met de tijd te stijgen.
In dat geval zou ik het negeren en hoogstens kijken of de HELO overeenkomt en eventueel op grond daarvan actie ondernemen. Dit soort praktijken is verder relatief weinig tegen te doen zonder een grote kans op fouten lijkt mij.
stuurt je server later een reject emailtje terug of geeft die voordat hij de email ontvangt bij "rcpt to:" al gelijk een error?
hij stuurt geen reject mails om resources te besparen.
Thijsvdbrink
01/09/11, 10:11
verzamel de IP numemrs, en besteed een keer een middagje whoissen om de ISP's te achterhalen.
Abuse mailtjes doen nog steeds goed werk.