Hoe lang IP adressen blokkeren?

[Patrick_st]

Onze Windows VPS heeft de RDP poort open staan voor heel de wereld. Misschien is dat niet helemaal verstandig maar wel makkelijk omdat we nu overal vandaan erbij kunnen.

Dagelijks hebben we te maken met computers die brute force attacks proberen op de RDP poort. Ik heb een script geschreven wat een IP adres blokkeert in de firewall bij de 4e mislukte inlog poging op een dag. Dit werkt prima maar de lijst met IP adressen in de firewall wordt langer en langer. Het script draait nog niet zo lang maar er komen 10 a 20 adressen per dag bij. Ik kan me voorstellen dat na een paar maanden/jaren dit invloed gaat hebben op de prestaties van de VPS.

Hoe gaan jullie hier mee om? Blokkeer je IP adressen voor altijd of geef je ze na een bepaalde tijd weer vrij?
De meeste aanvallen komen van een hostname lQPxf2ISQgEV1bGK. Het viel me op dat die hostname erg veel voorkomt in de logs, steeds met een ander IP adres. Na wat googlen kwam ik er achter dat dit een worm/virus is op Conficker basis. Veel van de geblokkeerde adressen zijn dus van PC's die besmet zijn en waarschijnlijk na een tijdje weer schoon zijn.

Het lijkt me logisch om de lijst op te schonen/leeg te maken na een bepaalde tijd, komt een IP terug dan wordt hij toch weer toegevoegd.

Ik ben benieuwd wat voor oplossingen jullie hebben.

[Yourwebhoster]

Je kan eerst 2 keer een tijdelijke ban van enkele uren geven. Mocht het dan alsnog foutief inloggen dan zou ik hem permanent blokkeren.

[Cakkie]

In csf (voor linux, maar gaat ook op) is de lijst standaard beperkt tot 100 entries en daar kom je al een heel eind mee. Als zo'n computer na 5 pogingen niet meer kan connecten, geeft hij het toch op en gaat hij verder naar het volgende IP adres. Als hij dan toch een week later nog eens zou terugkomen en hij staat niet meer op de lijst, dan kan hij hooguit weer 5 maal proberen alvorens weer op de lijst te staan.

[Patrick_st]

Twee keer een tijdelijke ban is inderdaad wel een goed idee.
Heeft iemand daar toevallig een script voor? Ik had verwacht veel kant en klare scripts te zullen vinden hiervoor maar dat valt wat tegen (of ik zoek op de verkeerde woorden natuurlijk)

[maverh]

Hallo,

Gebruik het volgende script : http://www.pettingers.org/code/sshblack.html#download
werkt goed.

mvg
Manu

[Yourwebhoster]

Hallo,

Gebruik het volgende script : http://www.pettingers.org/code/sshblack.html#download
werkt goed.

mvg
Manu
Het gaat hierom RDP (windows) en niet Unix;)

[Patrick_st]

Voor Linux is genoeg te vinden, dat is het probleem niet zo.

Ik heb mijn script nu zo gemaakt dat hij een IP minimaal 24 uur blokkeert. Om twaalf uur 's nachts geeft hij de IP adressen vrij die minimaal een dag geblokkeerd zijn.

Er viel me wel iets op, ik quote mezelf even:


De meeste aanvallen komen van een hostname lQPxf2ISQgEV1bGK. Het viel me op dat die hostname erg veel voorkomt in de logs, steeds met een ander IP adres. Na wat googlen kwam ik er achter dat dit een worm/virus is op Conficker basis.

Van bovenstaande hostnaam kwamen er zo'n 20 adressen per dag in de blocklist. Nadat het script een paar dagen draaide, kwamen ze helemaal niet meer voor. Nu zijn er nog maar 1 of 2 aanvallen per dag en die hebben niet meer bovenstaande hostname. Gaat er soms een adreslijst rond met IP adressen die makkelijk aan te vallen zijn? De aanvallen stopte precies met kerst. Ik dacht nog: doet dat virus aan kerst of zo? 24 december nog 19 adressen geblokkeerd, toen 1 dag helemaal niets en sinds dien 1 of 2 op een dag.