Bekijk Volledige Versie : LeaseWeb blokkeert IPs van servers waarop phishing websites staan
Uiteraard bedoel ik niet dat phishing getolereerd moet worden, maar ze zouden wel tenminste een waarschuwing mogen sturen. Hier even het verhaal;
Deze ochtend bleek mijn server onbereikbaar te zijn. remote reboot etc werkten niet dus ik mail de supplier van mijn servers om 7u47. Ik krijg een reactie om 8u52:
---
Hallo,
Leaseweb blijkt het ip-adres geblokkeerd te hebben om onderstaande melding.
We werken eraan het ip weer vrij te krijgen waarna u per direct de betreffende site dient te verwijderen.
Met vriendelijke groet
---
De volgende mail komt aan om 10:00
---
Ik zie dat het ip weer actief is gemaakt door Leaseweb. Kan je zorgen dat de betreffende site wordt verwijderd?
--
Dus ik ga onmiddelijk aan de slag om de account te suspenden, maar om 10u04 ligt alles er weer uit... Waarna deze mail volgt;
---
Hoeveel tijd heb je nodig om de site te verwijderen? Leaseweb heeft het ip alweer afgesloten omdat de site nog steeds online bleek te zijn.
---
Pas om 11u05 is de server opnieuw bereikbaar. Dit is de uitleg;
---
Volgens leaseweb worden phising sites per direct afgesloten. Blijkbaar is dit een nieuw beleid. Ik hoop dat ze zelf ook inzien dat dit geen werken is.
---
Het komt er dus op neer dat, hoewel een host onmogelijk iedere dag iedere pagina van iedere klant kan controleren op phishingsites, de volledige server offline wordt gehaald bij de eerste klacht, zonder de klant te waarschuwen of zelfs maar op de hoogte te stellen. Vervolgens krijgt de klant 4 minuten om uit te zoeken welke user hiervoor verantwoordelijk is en deze account offline te halen, zoniet wordt de server terug gedurende minstens een uur platgegooid.
Is dit enigszins een normale manier van zaken doen of zou ik beter op zoek gaan naar een andere provider?
Als het gaat om dit bericht:
http://www.webwereld.nl/articles/40746/ge%EFnfecteerde-computers-proberen-update-op-te-halen.html
Dan denk ik dat LeaseWeb een goede maatregel heeft genomen om je tijdelijk af te sluiten. Enig idee hoe groot de schade kan worden als geïnfecteerde PC's updates van de website van een klant van jou downloaden? Erg groot.
Wel ben ik van mening dat LSW een melding had mogen sturen naar jou + de reden van afsluiting.
Het updaten van een virus is nog iets anders dan een phishing website imo...
Het is een lapmiddel, maar het kan gewoon niet anders. Het probleem moet direct geisoleerd worden om de schade zoveel mogelijk te beperken. Dat de rest van de websites op een bepaald IP dan ook niet meer werkt, dat is een vervelende bijwerking. Er moet direct worden opgetreden om erger te voorkomen. Dat doet Leaseweb zo te horen perfect!
Keenondots
19/04/06, 14:00
Ben het met xCAT eens, maar een notify of een published blacklist is natuurlijk wel op z'n plaats.
FransVanNispen
19/04/06, 14:20
Onze ervaring bij Leaseweb met spam en phishing meldingen zijn eigenlijk heel positief. Er wordt normaal altijd eerst melding gemaakt met het verzoek binnen 24 uur matregelen te treffen en terugkoppeling te geven naar Leaseweb.
Tot nu toe altijd erg goed afgehandeld, en in deze gevallen heb ik ook nog nooit voor de extra support hoeven betalen.
Alle keren dat het tijdelijk blokkeren van IP's nodig bleek, hebben wij netjes een meldig gehad met de rede.
Denk dat de TS vooral bedoeld, dat je pas naar een uur reactie krijgt en de server weer aan gaat, en je vervolgens zelf 4 minuten de tijd krijgt om het te verwijderen. Die 4 minuten lukt niet en je kan vervolgens weer een uur wachten en intussen boze telefoontjes van je klanten beantwoorden.
hostingpower
19/04/06, 14:54
[QUOTE=assemble]Uiteraard bedoel ik niet dat phishing getolereerd moet worden, maar ze zouden wel tenminste een waarschuwing mogen sturen. Hier even het verhaal;
Deze ochtend bleek mijn server onbereikbaar te zijn. remote reboot etc werkten niet dus ik mail de supplier van mijn servers om 7u47. Ik krijg een reactie om 8u52:
.................................................. .................................................. ...........................QUOTE]
misschien makkelijker om de 2e nic voortaan op een backupnetwerkje te zetten zodat je via het backupnetwerk je server nog altijd kan benaderen!
Maar goed het Leaseweb had je wel even kunnen waarshuwen....
Hehe wat grappig :)
Bij ons exact hetzelfde geval. Het nullrouten van het IP doen ze in een wip, maar vervolgens de boel weer online zetten duurt uren. Even boos achteraan gebeld en toen was het zo geregeld.
ze kunnen toch best alleen ssh poort open laten, dan kun je er tenminste bij, jij blij zij blij
Soms kan het zo makkelijk zijn hé ;)
crazycoder
19/04/06, 15:22
Vind het echt absoluut niet kunnen dat servers zonder enige mededeling aan de eigenaar geblocked worden. Is het urgent, pak dan de telefoon..
Als ze blocken en dan per e-mail een melding sturen mag je hopen dat je e-mail niet via die server loopt :)
Trouwens.. als je meerdere IP's per server hebt dan kan men ook gewoon 1 ip blocken waardoor een massa sites plat gaan maar niet alles en de beheerder gewoon maatregelen kan nemen.
Zodra een ISP op de hoogte is moet deze handelen. Doet de ISP dat niet, dan is deze door nalatigheid verantwoordelijk voor eventuele verdere schade. Leaseweb is dus verplicht om op deze manier op te treden!
Phishing scams zijn zeer schadelijk, niet alleen voor netwerken, maar nog meer voor de mensen die dergelijke e-mail krijgen en zeker in de eerste paar uur dat er zulke mails rondgaan. Dat een ISP het beleid heeft om gelijk een IP te blokkeren is alleen maar aan te moedigen om de 'domme' internetgebruiker te beschermen. Dit zouden eigenlijk meer ISP's moeten doen.
Overigens: kun je er intern niet bij dan? Voor zover ik weet blokkeren ze bij Leaseweb op hun edge routers, dus zou je binnen je eigen subnet er altijd bij moeten kunnen.
Denk dat de TS vooral bedoeld, dat je pas naar een uur reactie krijgt en de server weer aan gaat, en je vervolgens zelf 4 minuten de tijd krijgt om het te verwijderen. Die 4 minuten lukt niet en je kan vervolgens weer een uur wachten en intussen boze telefoontjes van je klanten beantwoorden.
Inderdaad, en zoals in een onderstaande post ook vermeld; ze konden tenminste de SSH poort open laten staan of laten weten waarom ze de server offline haalden, dan had ik ook niet met die remote reboot moeten gaan prutsen... Werkelijk zeer frustrerend als klanten dan vragen waarom de server offline is en ik kan ze niets vertellen.
Zodra een ISP op de hoogte is moet deze handelen. Doet de ISP dat niet, dan is deze door nalatigheid verantwoordelijk voor eventuele verdere schade. Leaseweb is dus verplicht om op deze manier op te treden!
Zelfs als dat het geval is kunnen ze tenminste nog een mailtje sturen, liefst op voorhand, desnoods vlak erna, maar ik wist pas uren na het offline halen van de server wat er aan de hand was.
.....
Zelfs als dat het geval is kunnen ze tenminste nog een mailtje sturen, liefst op voorhand, desnoods vlak erna, maar ik wist pas uren na het offline halen van de server wat er aan de hand was.
Daar sluit ik me bij aan. Echter zal Leaseweb dan contact opnemen met haar directe afnemer. Het zou dus kunnen zijn dat dat wel gebeurt is en de e-mail daar is blijven liggen. Het is dus de vraag of Leaseweb dat wel of niet heeft gedaan.
Zodra een ISP op de hoogte is moet deze handelen.
Hoe breed wil je hierbij ISP definieren?
In dit geval is het een coloboer, maar zou je het ook juist vinden als bijv. een transit provider zonder voorafgaande kennisgeving tot afsluiting zou overgaan?
Het afsluiten van individuele websites is primair de verantwoordelijkheid van de hosting provider. Pas als deze een redelijke termijn is gegeven hier tegen op te treden, zou het te rechtvaardigen zijn dat een coloboer besluit tot het blokeren van IPs.
Phishing is een probleem dat een aantal banken en andere betalingsverwerkers voor een groot deel aan zichzelf te danken hebben.
Men vindt het te duur om alle klanten van challenge/response tokens (digireaders/identifiers/RSA secureid/etc.) te voorzien en gebruikt daarvoor in de plaats maar statische wachtwoorden of TAN lijsten.
Dan moet men ook de schade die deze kostenafweging tot gevolg heeft accepteren, en niet verwachten dat servers binnen een paar minuten offline worden gehaald ten koste van legitieme gebruikers.
eerst melding gemaakt met het verzoek binnen 24 uur matregelen te treffen.
Dat is dus gewijzigd. Er is nu geen 24 uur meer.
Toch krijg je 24 uur de tijd.
Toch krijg je 24 uur de tijd.
Bij phishing sites dus niet meer sinds vandaag.
Keenondots
19/04/06, 16:44
Alles behalve SSH blokkeren op je edge is not done. Dus uit praktisch oogpunt kunnen ze alleen een heel IP adres blokkeren, of niet, maar niet op port nummer.
Vind het echt absoluut niet kunnen dat servers zonder enige mededeling aan de eigenaar geblocked worden. Is het urgent, pak dan de telefoon..
Als ze blocken en dan per e-mail een melding sturen mag je hopen dat je e-mail niet via die server loopt :)
Trouwens.. als je meerdere IP's per server hebt dan kan men ook gewoon 1 ip blocken waardoor een massa sites plat gaan maar niet alles en de beheerder gewoon maatregelen kan nemen.
Ik vind het juist 100% terecht wat leaseweb doet, qua phising moet imo iedereen gewoon helder zijn, DIRECT afsluiten.
Moet jij je server maar niet laten hacken, of erger, klanten tolereren die zulke sites exploiteren.
Maar uiteraard dient Leaseweb de klant direct op de hoogte te stellen, dan wel via telefoon, dan wel via mail om hem in staat te stellen de site te verwijderen.
Triloxigen
19/04/06, 17:26
ze kunnen toch best alleen ssh poort open laten, dan kun je er tenminste bij, jij blij zij blij
Dan weet de meerderheid nog niet wat ze ermee aan moeten :p
Het afsluiten van individuele websites is primair de verantwoordelijkheid van de hosting provider. Pas als deze een redelijke termijn is gegeven hier tegen op te treden, zou het te rechtvaardigen zijn dat een coloboer besluit tot het blokeren van IPs.Helemaal mee eens! Je moet toch de tijd krijgen om zelf actie te ondernemen.
Helemaal mee eens! Je moet toch de tijd krijgen om zelf actie te ondernemen.
Stel:
Jij lig nog in je nest, daardoor blijft de site nog 4 uur draaien, en innen criminelen nog 4 uur lang bankgegevens van mensen, is dat wensbaar dan ?
Ik blijf erbij, in geval van zoiets ernstigs als phising, direct afsluiten en direct klant op de hoogte stellen.
euro-access
19/04/06, 18:04
mag aannemen dat je meerdere ip's krijgt bij je server.
dus nul routen van 1 ip betekend toch niet dat de hele server niet meer werkt.
of worden ook onschuldige ip's geblokt?
Wouter-Odon
19/04/06, 18:27
Wij krijgen geregeld abuse meldingen binnen via LSW, maar ze geven altijd ruim voldoende tijd om het op te lossen voordat het IP-adres wordt geblokkeerd. Het zou natuurlijk ook onacceptabel zijn als er zomaar zonder redelijke termijn om actie te ondernemen (meestal 24 uur) een IP van een shared server wordt geblokkeerd, honderden (afhankelijk van de server) website's onbereikbaar. Het is simpelweg onmogelijk om al je servers in de gaten te houden met wat voor site's er op worden geplaatst (al kan je wel bijvoorbeeld regelen dat je van elk account dat aangemaakt wordt een melding krijgt. Maar een domeinnaam alleen zegt dan soms nog niks).
Ik ben er dan ook vrijwel zeker van dat er gewoon een mailtje is gegaan naar de afnemer bij LSW, maar dat deze daar gewoon is blijven liggen. Dat je dan na 24 uur wordt afgesloten is terecht.
stel je draaid honderden websites op je server allemaal op 1 ip,
iemand vind het ftp wachtwoord van je een klant van je zet er een phishing site op, daarna word gelijk je ip geblokkeerd en zijn alle websites offline.
beetje raar niet?
Hehe wat grappig :)
Bij ons exact hetzelfde geval. Het nullrouten van het IP doen ze in een wip, maar vervolgens de boel weer online zetten duurt uren. Even boos achteraan gebeld en toen was het zo geregeld.
Het blokkeren van een IP adres van een klant kunnen wij niet, daar wij geen dedicated hosting faciliteren. Maar als wij om een bepaalde reden een website stop zetten, krijgt de klant pas achteraf een melding hierover. Zodra de klant meldt het probleem aangepakt / opgelost te hebben gaat een bevoegd persoon dit controleren. Tja, als die persoon net op dat moment wat anders te doen had kan het inderdaad een tijd duren. Wij gaan er geen werkzaamheden voor verzetten.
Maar in principe vind ik het wel raar dat Leaseweb meteen een IP adres blokkeert. Zij zijn in deze net als onze netwerk leverancier (Level(3)): Zij leveren alleen het dataverkeer en hebben in principe geen verantwoordelijkheid over wat er over de lijn gaat (de postbode leest je brieven toch ook niet om te zien of er toevallig een verdacht poeder in zit?). Pas wanneer de daadwerkelijke verantwoordelijke (de hostingprovider) genotificeerd is en er niets tegen doet (stel 1 uur, 2 uur, whatever), dan zou een netwerk leverancier kunnen besluiten de verbinding te blokkeren.
Tenzij natuurlijk je een gehuurde server (i.t.t. een rack vol eigen servers) hebt. Dan vallen die servers wel onder de verantwoordelijkhed van LeaseWeb en is een onmiddelijke afsluiting gerechtvaardigd. Er moet dan natuurlijk wel wat over misbruik en afsluiting in de algemene voorwaarden staan.
Las net dit bij MS
http://www.microsoft.com/netherlands/thuisgebruikers/beveiliging/online/phishing_filter.mspx
Wellicht iets als je een site op je server verdacht vindt.
gr
Reitze
Stel:
Jij lig nog in je nest, daardoor blijft de site nog 4 uur draaien, en innen criminelen nog 4 uur lang bankgegevens van mensen, is dat wensbaar dan ?
Ik blijf erbij, in geval van zoiets ernstigs als phising, direct afsluiten en direct klant op de hoogte stellen.
Een belletje is sneller? Voice mail inspreken en dan afsluiten lijkt mij acceptabeler dan geen reactie geven.
Ik vind het juist 100% terecht wat leaseweb doet, qua phising moet imo iedereen gewoon helder zijn, DIRECT afsluiten.
Moet jij je server maar niet laten hacken, of erger, klanten tolereren die zulke sites exploiteren.
Maar uiteraard dient Leaseweb de klant direct op de hoogte te stellen, dan wel via telefoon, dan wel via mail om hem in staat te stellen de site te verwijderen.
Ik tolereer dit soort sites helemaal niet, maar ik kan ook moeilijk iedere pagina op iedere account op iedere server iedere dag gaan controleren. Zover ik weet zijn er geen effectieve manieren om voor phishing sites te scannen dus zou ik wel liefst even de tijd krijgen (al is het maar een uur, maar dan wel op een normaal tijdstip van de dag) voordat ze alles platgooien...
Kunnen ze niet tijdelijk op dat IP al het verkeer proxyen en alles voor die website er uit filteren.. kost hun misschien wat meer moeite maar wel wat klantvriendelijker.
Ik tolereer dit soort sites helemaal niet, maar ik kan ook moeilijk iedere pagina op iedere account op iedere server iedere dag gaan controleren. Zover ik weet zijn er geen effectieve manieren om voor phishing sites te scannen dus zou ik wel liefst even de tijd krijgen (al is het maar een uur, maar dan wel op een normaal tijdstip van de dag) voordat ze alles platgooien...
Naja het lijkt mij redelijk acceptabel dat de colo boer 'm plat gooit, jouw op de hoogte stelt, en 'm weer online brengt zodat jij de boel kan onderzoeken.
En Mark17, zo bedoel ik het ook hoor, als klant niet opneemt, voicemail inspreken indien mogelijk, en even mailtje sturen, maar de site wel afsluiten totdat de eigenaar actie kan ondernemen om verder misbruik te voorkomen, hoe lullig dat op dat moment ook voor die andere 100 shared sites is.
We nullrouten IP adressen direct wanneer:
- een phishing site wordt gehost
- bepaalde DDoS aanvallen
- kinderporno
De klant wordt altijd direct op de hoogte gesteld.
Bij alle andere andere gevallen van abuseklachten wordt 24 uur de tijd gegeven.
Zoals eerder vermeld, en ook in de email naar de klant (als het een eerste melding is) , is de server alleen buiten het subnet niet bereikbaar. Beheerders kunnen dus zonder problemen op de server inloggen vanaf een andere server in hetzelfde subnet (of op een tweede IP adres) om zo de gecompromiteerde server op te schonen en te beveiligen.
crazycoder
19/04/06, 21:15
Moet jij je server maar niet laten hacken, of erger, klanten tolereren die zulke sites exploiteren.
Dat is natuurlijk je reinste flauwekul.
Het is simpel als phising sites wij_gaan_phishen.nl of bijv depostbankonline.nl heten. In alle andere gevallen is het bepaald ondoenlijk omdat om het even welke domeinnaam voor phishing gebruikt kan worden.
Komt er toch een site waar je geen goed gevoel bij heb kan je die natuurlijk in de gaten houden....
Ik ben overigens blij met de uitleg van Leaseweb, aangezien je dus gewoon op een ander IP connecten kan je het altijd oplossen. Als jij als provider niet weet hoe je e.e.a. op een shell op moet lossen dan zal je het snel moeten leren, of moet je een andere hobby zoeken..
Mihosnet heeft gevraagd of ik hier wil posten om ons standpunt te verklaren.
Ik vind het vreemd dat mihosnet post dat deze policy nieuw ("sinds vandaag") voor ze is, we hebben afgelopen maanden een aantal keren deze procedure in gang gezet en met ze afgehandeld.
We nullrouten IP adressen direct wanneer:
- een phishing site wordt gehost
- bepaalde DDoS aanvallen
- kinderporno
De klant wordt altijd direct op de hoogte gesteld.
Bij alle andere andere gevallen van abuseklachten wordt 24 uur de tijd gegeven.
Zoals eerder vermeld, en ook in de email naar de klant (als het een eerste melding is) , is de server alleen buiten het subnet niet bereikbaar. Beheerders kunnen dus zonder problemen op de server inloggen vanaf een andere server in hetzelfde subnet (of op een tweede IP adres) om zo de gecompromiteerde server op te schonen en te beveiligen.
Ik ben in ieder geval van niets op de hoogte gebracht, noch van de reden van de downtime noch van het feit dat ik van een andere server binnen het subnet wel kon connecteren... Bedoelen jullie met "de klant" Mihosnet of de klant van Mihosnet (ik dus)?
euro-access
19/04/06, 21:59
vind de policy van leaseweb 100% perfect.
er zijn een aantal dingen die je gewoon niet wilt hebben op je netwerk
Ik ben in ieder geval van niets op de hoogte gebracht, noch van de reden van de downtime noch van het feit dat ik van een andere server binnen het subnet wel kon connecteren... Bedoelen jullie met "de klant" Mihosnet of de klant van Mihosnet (ik dus)?
Lijkt mij Mihosnet. Leaseweb heeft toch niks met jou te maken?
vind de policy van leaseweb 100% perfect.
er zijn een aantal dingen die je gewoon niet wilt hebben op je netwerk
Als je maar weet dat als je het niet meld bij mij je gebeld word. (Lees Rick ontvangt een inkomend gesprek).
Uiteraard ben ik ook groot tegenstander van phising-sites, maar recentelijk hadden we er twee (een bij een reseller op een shared server en een bij een colo-klant). In beide gevallen ontvingen we een email-tje van LSW, en hebben we direct contact opgenomen met de klant/reseller om de site te blokkeren (voordat wij zouden ingrijpen). Hier werd door LSW nog een termijn van 24 uur gehanteerd. Nu is 24 uur misschien wel lang, maar ik vind het ook niet acceptabel wanneer een netwerkleverancier IP's gaat blocken zonder dat je zelf de mogelijkheid hebt gehad in te grijpen. Het blokkeren van sites is een taak van de hoster en niet van de netwerkleverancier (=postbode) tenzij een reactie binnen enkele uren uitblijft.
Als het zo belangrijk is om dit soort sites direct offline te halen (waar wat voor te zeggen valt) is een belletje zo gepleegd (tenslotte zijn de telefoonnummers allemaal bekend) en worden er geen tientallen of honderden andere sites benadeeld. Wie controleert er de inhoud van alle websites die elke dag nieuw worden aangemaakt? Daar ben ik al lang geleden mee gestopt (niet meer bij te houden), dus je kunt pas reactief reageren en je andere klanten mogen hier niet onder te leiden hebben.
My $ 0,02 :)
Postbode of niet. Zodra je er van op de hoogte bent gebracht dat er illegale zaken door jou bezorgt worden. Dan wordt je geacht de bezorging zo spoedig mogelijk te staken. Voor een netwerkleverancier is het enige dat daar binnen mogelijk is om het IP-adres van de betreffende website af te sluiten.
Daarnaast hebben we het hier over tientallen dan wel honderden websites die de dupe van het afsluiten van een dergelijk IP-adres waar een phising website op staan worden. Echter is dat maar een kant van het verhaal. Elke minuut dat een phising website langer bereikbaar is kunnen er tientallen nieuwe slachtoffers worden gemaakt per minuut! Doordat er bijvoorbeeld net een enorme spamrun met phisingmail, die naar de bewuste site verwijst, is uitgevoerd.
Wat mij opvalt is dat er heel erg vanuit het belang van de webhoster, van wie een server met soms honderden websites (tijdelijk) wordt afgesloten, wordt gekeken. Echter is er ook een maatschappelijk belang om het aantal slachtoffers van en de schade door phising, met meestal als doel identiteitsdiefstal/fraude, tegen te gaan. Dat laatste belang is naar mijn idee velen malen groter dan de korte downtime die alle websites ervaren doordat een IP adres tijdelijk wordt afgesloten.
crazycoder
20/04/06, 00:45
Daarnaast hebben we het hier over tientallen dan wel honderden websites die de dupe van het afsluiten van een dergelijk IP-adres waar een phising website op staan worden. Echter is dat maar een kant van het verhaal. Elke minuut dat een phising website langer bereikbaar is kunnen er tientallen nieuwe slachtoffers worden gemaakt per minuut! Doordat er bijvoorbeeld net een enorme spamrun met phisingmail, die naar de bewuste site verwijst, is uitgevoerd.
Wat mij opvalt is dat er heel erg vanuit het belang van de webhoster, van wie een server met soms honderden websites (tijdelijk) wordt afgesloten, wordt gekeken. Echter is er ook een maatschappelijk belang om het aantal slachtoffers van en de schade door phising, met meestal als doel identiteitsdiefstal/fraude, tegen te gaan. Dat laatste belang is naar mijn idee velen malen groter dan de korte downtime die alle websites ervaren doordat een IP adres tijdelijk wordt afgesloten.
Dan moet je de verantwoording in eerste instantie daar neerleggen waar die hoort: de banken etc die met gebruikersnaam/wachtwoord werken.. En natuurlijk bij ongelofelijke idioten die ieder mailtje geloven wat ze voor hun snuit krijgen.
De discussie is niet dat er tegen op moet worden getreden, het gaat echter wel om de manier waarop dit gebeurt. Als men over gaat tot het onmiddelijk blocken van een IP dan dient de beheerder van de server daar onmiddelijk van in kennis te worden gesteld. Bij voorkeur telefonisch.
Die kan dan zelf onmiddelijk afdoende maatregelen nemen zonder dat er grote schade ontstaat voor diens klanten.
Phishing beperkt zich niet enkel tot banken, al zijn dit op dit moment de meest logische en meest aangevallen partijen. Er zijn zoveel bedrijven en instellingen waarvan je het in eerste instantie niet zou verwachten die vatbaar voor phishing zijn. Dat zodra alle banken op tokenbased authenticatie zijn overgaan phishers zich massaal op een ander soort slachtoffer storten.
Daarnaast impliceer je dat zolang de banken hun verantwoording niet nemen en de consument niet digibewust genoeg is, de consument het verdiend het slachtoffer te worden van phishers. De mens is en zal altijd de zwakste schakel in beveiliging blijven doordat deze ten alle tijden vatbaar zullen zijn voor 'social engineering'. Phishers zullen manier blijven vinden om slachtoffers te maken. Hoe goed je consumenten ook digibewust maakt.
Daarom zul je altijd adequaat moeten optreden tegen phishing-websites en deze zo snel mogelijk moeten blokkeren. Indien je daarbij als ongewenst neveneffect meer websites afsluit dan is dan een noodzakelijk kwaad. Gezien de catastrofale gevolgen die identiteitsfraude/diefstal met zich mee (kunnen) brengen.
ChemicalWH
20/04/06, 01:31
Leaseweb heeft ooit hetzelfde bij een van Chemical's servers gedaan, ik vond dit zelf een acceptabele oplossing voor het probleem. Ik zie een server liever een paar minuten offline dan schadeclaims van gedupeerde mensen door de phishing bot.
crazycoder
20/04/06, 07:51
Daarnaast impliceer je dat zolang de banken hun verantwoording niet nemen en de consument niet digibewust genoeg is, de consument het verdiend het slachtoffer te worden van phishers. De mens is en zal altijd de zwakste schakel in beveiliging blijven doordat deze ten alle tijden vatbaar zullen zijn voor 'social engineering'. Phishers zullen manier blijven vinden om slachtoffers te maken. Hoe goed je consumenten ook digibewust maakt.
Daarom zul je altijd adequaat moeten optreden tegen phishing-websites en deze zo snel mogelijk moeten blokkeren. Indien je daarbij als ongewenst neveneffect meer websites afsluit dan is dan een noodzakelijk kwaad. Gezien de catastrofale gevolgen die identiteitsfraude/diefstal met zich mee (kunnen) brengen.
Als je trap in mailtjes die beginnen met:
Lieve Postbank klant
dan mankeert er echt iets aan je. Dat is immers geen aanhef die een normaal Nederlands bedrijf zal gebruiken.
Idem met Paypal:
dear paypal member
Als paypal een e-mail verzend is het met iets als:
dear je_voornaam je_achternaam of alleen maar je_voornaam je_achternaam.
Dan heb ik er inderdaad niet zoveel problemen mee als er 1 of 2 extra personen in een dergelijke val trappen.
Let wel, ik ben niet tegen het nemen van stappen tegen dergelijke sites maar ik ben wel van mening dat de schade die deze stappen tot gevolg hebben niet voor rekening van de eigenaren van andere sites zou moeten zijn. Laat die schade dan maar liever voor rekening van de sukkels komen die in dat soort mailtjes trappen.
Er is nog zeker een heel stuk voorlichting wat banken e.d. moeten geven. Zoals dat men nooit in het mailtje op een link moet klikken maar altijd de url van de site in de browser moet kloppen.
Verder heeft de leverancier van de netwerkverbinding eerst en vooral een relatie met een verantwoording tegenover de eigenaar van de server(s). Ik zie niet in waarom onmiddelijk telefonisch contact opnemen met de eigenaar van de server(s) niet als snel en adequaat kan worden gezien. Zelf heb ik regelmatig phising sites bij diverse banken en creditcard maatschappijen gerapporteerd, meer dan een week later stonden deze sites nog online.
Als die organisatie dan eindelijk uit hun winterslaapje ontwaakt, dan maken die extra 10 minuten ook niet zo gek veel meer uit. Misschien is de reactietijd nu wat korter, gezien de traagheid ben ik namelijk gestopt met rapporteren..
Bedenk dat de afsluiting eveneens een grote schade tot gevolg kan hebben.. waar de netwerkleverancier mijns inziens zeker voor aansprakelijk gesteld zou kunnen worden. Om maar te zwijgen over eventuele discussies daaropvolgend die opzegging van het contract tot gevolg zouden kunnen hebben..
Of je gebruikt gewoon een pishing filters die dit soort mail voor 99,9% filtert ik ben het met Dillard eens, de actie moet in eerste instantie van de Hoster komen niet van de leverancier. De oplossing moet gezocht worden bij de bron niet bij de eindgebruiker!
Voor de personen die van mening zijn dat de netwerkleverancier niet de eerste actie moet uitvoeren: Stel je hebt een machine in je netwerk staan die per minuut 50.000 spam-emails verstuurd. Die op het moment dat je dat als netwerkleverancier constateerd nog steeds aan het doen is. Moet je dan als netwerkleverancier ook eerst contact opnemen met je klant en dus niet de bewuste server/ip zelfstandig gaan nullrouten?
Voor de personen die van mening zijn dat de netwerkleverancier niet de eerste actie moet uitvoeren: Stel je hebt een machine in je netwerk staan die per minuut 50.000 spam-emails verstuurd. Die op het moment dat je dat als netwerkleverancier constateerd nog steeds aan het doen is. Moet je dan als netwerkleverancier ook eerst contact opnemen met je klant en dus niet de bewuste server/ip zelfstandig gaan nullrouten?
Op het moment dat een netwerkleverancier ziet dat de 50.000 e-mails per minuut spam e-mails zijn, dan is de leverancier verkeerd bezig. Helemaal als deze daar actie op onderneemt. Dit kan en mag hij niet zien. Voor een netwerkleverancier gaat er gewoon veel verkeer over poort 25 naar buiten. Wat voor verkeer? He doesn't know/care.
Een netwerkleverancier is en blijft een soort van TPG: een postbode die pakketjes bezorgt. Zoals ik al eerder in deze thread postte: Een postbode controleert je pakketjes ook niet op poeders. Constateert een netwerkleverancier dat er zaken gebeuren die het daglicht niet kunnen verdragen, zoals veel verkeer op virus poorten, enorm veel portscans, whatever en hier klachten over krijgt van andere instanties, dan dient deze melding te maken bij zijn (voor overlast zorgende) klant: De (hosting/service/access) provider.
Wat mij opvalt is dat er heel erg vanuit het belang van de webhoster, van wie een server met soms honderden websites (tijdelijk) wordt afgesloten, wordt gekeken. Echter is er ook een maatschappelijk belang om het aantal slachtoffers van en de schade door phising, met meestal als doel identiteitsdiefstal/fraude, tegen te gaan. Dat laatste belang is naar mijn idee velen malen groter dan de korte downtime die alle websites ervaren doordat een IP adres tijdelijk wordt afgesloten.
Je reactie laat duidelijk zien dat jouw brood zeker niet uit webhosting komt, ik heb voorbeeld machines waar 600+ websites op draaien voor het bedrijfsleven. Ga er maar niet vanuit dat deze rakkers baad hebben bij maatschappelijk belang. Enigste wat hun interresseert is dat de website en eventueele (fallback)mail naar behoren werkt.
Ik vind direct nullen dan ook meer dan bezwaarlijk, ik betaal netjes op tijd en zie dan ook graag een open verbinding ervoor terug. Denk dat een belletje met begeleidende mail en 4 uur tijd wat netter zou staan dan gelijk *uit*. Klanten zijn wat dat betreft totaal niet begripvol en zullen je de eventuele downtime/uitval dan ook kwalijk nemen.
En waar kan ik mijn geleden schade dan verhalen ? Bij de postbode ? Als ik opengescheurde of beschadigde poststukken krijg en dit zal melden, wordt de postbode ook op de vingers getikt. Ik zal het prettig vinden als LSW zijn beleid eens herziet en de phishing gedupeerde enigsinds een kleine tijd geeft om het in orde te maken. Denk dat dit voor beide partijen een betere oplossing is dan radicaal null....
Leaseweb heeft ooit hetzelfde bij een van Chemical's servers gedaan, ik vond dit zelf een acceptabele oplossing voor het probleem. Ik zie een server liever een paar minuten offline dan schadeclaims van gedupeerde mensen door de phishing bot.
Een paar minuten?! De server is blijkbaar om 01:04 's nachts al offline gehaald en aangezien ik niet direct met LeaseWeb contact dien op te nemen bij storingen moet ik dan wachten tot de supplier beschikbaar is, en ze garanderen dat enkel van 10u tot 17u, hoewel ze regelmatig ook buiten die uren beschikbaar zijn. Wanneer LSW de server dus offline haalt is het NIET op een paar minuten op te lossen.
eerlijk gezegd kan ik me wel vinden in de oplossing van leaseweb, een klant is vaak te laks om snel maatregelen te nemen (niet allemaal he ;)) dus dan krijg je vanzelf een policy als deze, proserve zegt altijd dat je moet communiceren in dit soort gevallen, anders gaat het ip ook op zwart ;)
Als een klant te laks is kunnen ze altijd nog ingrijpen? Maar de Hoster wordt hier geen kans geboden om iets te doen, en klaarblijkelijk ook niet op de hoogte gesteld :(
AlfaHosting
20/04/06, 09:17
Je reactie laat duidelijk zien dat jouw brood zeker niet uit webhosting komt, ik heb voorbeeld machines waar 600+ websites op draaien voor het bedrijfsleven. Ga er maar niet vanuit dat deze rakkers baad hebben bij maatschappelijk belang. Enigste wat hun interresseert is dat de website en eventueele (fallback)mail naar behoren werkt.
Ik vind direct nullen dan ook meer dan bezwaarlijk, ik betaal netjes op tijd en zie dan ook graag een open verbinding ervoor terug. Denk dat een belletje met begeleidende mail en 4 uur tijd wat netter zou staan dan gelijk *uit*. Klanten zijn wat dat betreft totaal niet begripvol en zullen je de eventuele downtime/uitval dan ook kwalijk nemen.
En waar kan ik mijn geleden schade dan verhalen ? Bij de postbode ? Als ik opengescheurde of beschadigde poststukken krijg en dit zal melden, wordt de postbode ook op de vingers getikt. Ik zal het prettig vinden als LSW zijn beleid eens herziet en de phishing gedupeerde enigsinds een kleine tijd geeft om het in orde te maken. Denk dat dit voor beide partijen een betere oplossing is dan radicaal null....
Helemaal mee akkoord.
Zolang ik weet moet je altijd je telefoonnummer doorgeven aan je coloboer (nog geen enkel geval meegemaakt waar het niet zo was).
Het lijkt mij dat je in zo'n geval gebeld wordt. Dan kan de coloboer die bij LSW afneemt lijkt mij wel snel contact opnemen met eigenaar server. Is dat niet mogelijk dan vind ik het rechtvaardig dat zij die server nullrouten.
Dat e-mail overal gebruikt wordt betekend niet dat mensen 24/7 hun mail checken.
Overigens Digiover, je kan een klacht indienen als zo'n dergelijke site bij een provider gevonden is door wie dan ook. Denk niet dat LeaseWeb alle mailtjes doorzoekt of dergelijk.
Als een klant te laks is kunnen ze altijd nog ingrijpen? Maar de Hoster wordt hier geen kans geboden om iets te doen, en klaarblijkelijk ook niet op de hoogte gesteld :(
ben ik met je eens, maar ik denk dat het te vaak fout gaat en een grote partij als leaseweb zal dan toch op deze manier dingen afhandelen, alle respect voor leaseweb maar ze zijn niet altijd even servicegericht :) kan miss ook niet als je bepaalde prijzen hanteert en erg groot bent/ groter wil worden....
Moet jij je server maar niet laten hacken, of erger, klanten tolereren die zulke sites exploiteren.
Grapje zeker? Jij gaat de websitecontent van duizenden klanten elke dag stuk voor stuk controleren? Er zal vast geen domeinnaam aangevraagd worden in de richting van "phishingwebsitevandepostbank.nl".
Daar sluit ik me bij aan. Echter zal Leaseweb dan contact opnemen met haar directe afnemer. Het zou dus kunnen zijn dat dat wel gebeurt is en de e-mail daar is blijven liggen. Het is dus de vraag of Leaseweb dat wel of niet heeft gedaan.
We nemen direct bij Leaseweb af, maar hebben helaas niks gehoord. Laten we een ding wel wezen. Zodra ik een telefoontje krijg of een email zie, zal de website natuurlijk onherroepelijk worden afgesloten. Net zo snel als Leaseweb kan handelen kunnen wij dat ook. Alleen met het voordeel dat niet al mijn klanten offline hoeven te zijn.
Zolang ik weet moet je altijd je telefoonnummer doorgeven aan je coloboer (nog geen enkel geval meegemaakt waar het niet zo was).
Het lijkt mij dat je in zo'n geval gebeld wordt. Dan kan de coloboer die bij LSW afneemt lijkt mij wel snel contact opnemen met eigenaar server. Is dat niet mogelijk dan vind ik het rechtvaardig dat zij die server nullrouten.
Dat e-mail overal gebruikt wordt betekend niet dat mensen 24/7 hun mail checken.
Overigens Digiover, je kan een klacht indienen als zo'n dergelijke site bij een provider gevonden is door wie dan ook. Denk niet dat LeaseWeb alle mailtjes doorzoekt of dergelijk.
Misschien heeft LSW het telefoonnummer van Mihosnet wel, maar daar ben ik vet mee als ze de server toch gewoon platgooien. LeaseWeb wil niet direct door klanten-van-klanten gecontacteerd worden (dat is duidelijk gemaakt de laatste keer dat ik contact opnam met LSW) dus kan ik enkel hopen dat de mensen van Mihosnet nog beschikbaar zijn om contact op te nemen.
Het is overigens niet mijn bedoeling LSW zwart te maken, ik wil gewoon garantie dat de servers in de toekomst niet zomaar offline worden gehaald, of tenminste duidelijke afspraken...
Daarom ga ik op het onderstaande tevens niet ingaan ;)
---
Arnout Veenman, xCAT.nl
Tevens directeur Stichting Hostmerk Nederland
Je coloboer null-route je zomaar?! Deel je ervaring op www.ISPGids.com
---
crazycoder
20/04/06, 10:18
Misschien heeft LSW het telefoonnummer van Mihosnet wel, maar daar ben ik vet mee als ze de server toch gewoon platgooien. LeaseWeb wil niet direct door klanten-van-klanten gecontacteerd worden (dat is duidelijk gemaakt de laatste keer dat ik contact opnam met LSW) dus kan ik enkel hopen dat de mensen van Mihosnet nog beschikbaar zijn om contact op te nemen.
Het is overigens niet mijn bedoeling LSW zwart te maken, ik wil gewoon garantie dat de servers in de toekomst niet zomaar offline worden gehaald, of tenminste duidelijke afspraken...
Daarom ga ik op het onderstaande tevens niet ingaan ;)
Ik kan mezelf best voorstellen dat Leaseweb geen support wil verlenen aan klanten van klanten. Zij hebben bot gezegd helemaal niets met jou te maken..
Als je problemen hebt met servers die zomaar op zwart gaan, dan moet je goede afspraken maken met je coloboer of elders gaan huren. Bijvoorbeeld bij een coloboer die voor echte problemen gewoon 24/7 bereikbaar is. Als jouw coloboer dat niet is, dan accepteer jij daarmee dat problemen zoals jij die nu heb ondervonden onnodig lang blijven liggen.
Ik kan mezelf best voorstellen dat Leaseweb geen support wil verlenen aan klanten van klanten. Zij hebben bot gezegd helemaal niets met jou te maken..
Als je problemen hebt met servers die zomaar op zwart gaan, dan moet je goede afspraken maken met je coloboer of elders gaan huren. Bijvoorbeeld bij een coloboer die voor echte problemen gewoon 24/7 bereikbaar is. Als jouw coloboer dat niet is, dan accepteer jij daarmee dat problemen zoals jij die nu heb ondervonden onnodig lang blijven liggen.
Ik snap de policy nog wel dat ik niet direct contact dien op te nemen, maar dan zouden zo geen situaties mogen creëren waarbij dit vereist is.
Even terzijde:
Maatschappelijk belang? Ik denk dat vrijwel geen enkele ondernemer daar rekening mee houdt. Ook mijn (zakelijke) klanten niet, die zullen het een worst wezen of mensen hun geld kwijtraken omdat ze op zo'n achterlijk mailtje afgaan.
Wat mij opvalt dat iedereen zijn positie/business probeert te beschermen. Waar op zich niks mis mee is, echter wel ten koste van phishing-slachtoffers.
Gezien ik geen webhoster ben kan ik makkelijker het maatschappelijk meest gewenste standpunt innemen. Namelijk om zo snel mogelijk de phishing website offline te halen. Desnoods ten koste van tientallen andere websites. Het dwingt de webhoster op wiens server de bewuste phishing-website staat meteen tot handelen.
Het probleem is feitelijk dat een dergelijke nullroute naar het ip van een dergelijke server een grote impact op een gemiddeld webhostingbedrijf heeft. In principe is de server bewijsmateriaal in een ernstig misdrijf, dus zou deze zelfs in beslag kunnen worden genomen voor het onderzoek naar het misdrijf. Het maatschappelijk belang van sporenonderzoek zal niemand ontkennen. Echter de webhoster van wie de server in beslag wordt genomen zal er tegen protesteren en het zeer onredelijk vinden dat er beslag wordt gelegt op zijn apparatuur.
Het probleem is feitelijk dat een dergelijke nullroute naar het ip van een dergelijke server een grote impact op een gemiddeld webhostingbedrijf heeft. In principe is de server bewijsmateriaal in een ernstig misdrijf, dus zou deze zelfs in beslag kunnen worden genomen voor het onderzoek naar het misdrijf. Het maatschappelijk belang van sporenonderzoek zal niemand ontkennen. Echter de webhoster van wie de server in beslag wordt genomen zal er tegen protesteren en het zeer onredelijk vinden dat er beslag wordt gelegt op zijn apparatuur.
Van mij mogen ze de server meenemen, binnen 30 ~60 min is er een hotspare ingericht met de betreffende data, ben benieuwd of die null net zo snel weg is als dat ik een andere server ingericht heb...
crazycoder
20/04/06, 11:36
Wat mij opvalt dat iedereen zijn positie/business probeert te beschermen. Waar op zich niks mis mee is, echter wel ten koste van phishing-slachtoffers.
Gezien ik geen webhoster ben kan ik makkelijker het maatschappelijk meest gewenste standpunt innemen. Namelijk om zo snel mogelijk de phishing website offline te halen. Desnoods ten koste van tientallen andere websites. Het dwingt de webhoster op wiens server de bewuste phishing-website staat meteen tot handelen.
Tja, jij heb een politiek correct standpunt :-)
Ben het overigens niet met eMiz0r eens dat bedrijven zichzelf niets van het maatschappelijk belang aan willen of zullen trekken.. Dat doen zij zeer zeker wel alleen zullen zij vaak het zwaartepunt op het economisch belang van het eigen bedrijf leggen.
Ik denk dat ieder weldenkend mens voor het nemen van stappen tegen phishing sites is. Alleen hebben de meesten van ons problemen met het blocken van traffic naar een IP zonder dat hieromtrent overleg is geweest met de eigenaar/beheerder/technische support van de server.
Als alleen die ene phishing site op dat IP zou draaien (bijv vanwege SSL) zou het een minder groot probleem zijn. Omdat de leverancier dat niet kan zien moet deze mijns inziens contact opnemen en niet zonder enig overleg blocken.
Lijkt mij dat niemand problemen heeft met het overhandigen van de nodige web- en of ftp logs van dergelijke sites. Het leggen van beslag is m.i. een te zwaar middel waar het maatschappelijk belang in het geheel niet mee gediend is.
Kortom, ik denk dat wij in beginsel dezelfde mening hebben alleen verschillen over de uiteindelijke uitvoering.
Tja, jij heb een politiek correct standpunt :-)
Ben het overigens niet met eMiz0r eens dat bedrijven zichzelf niets van het maatschappelijk belang aan willen of zullen trekken.. Dat doen zij zeer zeker wel alleen zullen zij vaak het zwaartepunt op het economisch belang van het eigen bedrijf leggen.
Ik denk dat ieder weldenkend mens voor het nemen van stappen tegen phishing sites is. Alleen hebben de meesten van ons problemen met het blocken van traffic naar een IP zonder dat hieromtrent overleg is geweest met de eigenaar/beheerder/technische support van de server.
Als alleen die ene phishing site op dat IP zou draaien (bijv vanwege SSL) zou het een minder groot probleem zijn. Omdat de leverancier dat niet kan zien moet deze mijns inziens contact opnemen en niet zonder enig overleg blocken.
Lijkt mij dat niemand problemen heeft met het overhandigen van de nodige web- en of ftp logs van dergelijke sites. Het leggen van beslag is m.i. een te zwaar middel waar het maatschappelijk belang in het geheel niet mee gediend is.
Kortom, ik denk dat wij in beginsel dezelfde mening hebben alleen verschillen over de uiteindelijke uitvoering.
Ik had het anders moeten formuleren. Het economische probleem van een ondernemer zal in 99% van de gevallen zwaarder worden gewogen dan het maatschappelijke probleem.
Ik had het anders moeten formuleren. Het economische probleem van een ondernemer zal in 99% van de gevallen zwaarder worden gewogen dan het maatschappelijke probleem.
Door de ondernemer die aan webhosting doet, gezien het zijn eigen belang is. Netwerk leveranciers en de maatschappij zullen dit waarschijnlijk anders inschatten.
Stel een bedrijf heeft een cluster met 1 IP voor de buitenwereld. (Er zijn genoeg voorbeelden.) Dan zijn er dus bijv. 5000 sites offline omdat er 1 site tussen zit die aan phissing doet. Sorry maar dan moet het belang van die andere 4999 sites (en de bijbehordende eigenaren) zwaarder gewogen worden naar mijn idee dan 1 site die niet helemaal in orde is.
1 telefoontje naar de webhoster zal in dat geval alleen maar goed zijn, deze kan dan de bestanden van de betreffende site onbruikbaar maken voor de buitenwereld en eventueel zelfs een waarschuwingspagina erop zetten. Als de url telefonisch gemeld word dan zou het in 99% van de gevallen binnen 1 uur door de server beheerder opgelost kunnen worden. De server beheerder kan een andere persoon zijn dan de afnemer bij een netwerk dus een periode van 2 tot 4 uur indien de url word gegeven lijkt mij redelijk.
Tevens zou de eigenaar van de DNS servers gewaarschuwd moeten worden (deze kan de site dan naar 127.0.0.1 laten wijzen met een A-record bijvoorbeeld om het gevaar te verwijderen). Zelf zou ik beide maatregelen nemen binnen een uur nadat ik ervan af weet. Door de eventuele databases te backuppen en dan te verwijderen (een backup voor het geval het legitiem blijkt) kun je extra doen en dan is de data zelfs niet te vinden voor de kwade gebruiker/hacker indien ze in een database zijn opgeslagen.
Swiftway-UK
20/04/06, 13:42
Stel een bedrijf heeft een cluster met 1 IP voor de buitenwereld. (Er zijn genoeg voorbeelden.) Dan zijn er dus bijv. 5000 sites offline omdat er 1 site tussen zit die aan phissing doet. Sorry maar dan moet het belang van die andere 4999 sites (en de bijbehordende eigenaren) zwaarder gewogen worden naar mijn idee dan 1 site die niet helemaal in orde is.
Als jij 5000 websites host op 1 IP dan doe je toch echt iets fout. Een klant van die 5000 verstuurt een spam mailing en gelijk hebben 5000 klanten problemen om mail te verzenden doordat het IP in diverse blacklists staat.
Het lijkt me zeer onverstandig om zoveel sites op 1 IP te plaatsen.
Keenondots
20/04/06, 14:28
100 of 5000 sites, dat is het risico van Shared Hosting. Als de klant nooit last wil hebben van andere sites/klanten, moet hij dedicated gaan hosten. Het kan performance zijn of dit soort 'effecten', maar Shared Hosting is *SHARED* hosting.
Als jij 5000 websites host op 1 IP dan doe je toch echt iets fout. Een klant van die 5000 verstuurt een spam mailing en gelijk hebben 5000 klanten problemen om mail te verzenden doordat het IP in diverse blacklists staat.
Het lijkt me zeer onverstandig om zoveel sites op 1 IP te plaatsen.
1 IP fungeert niet meteen als gateway voor alle diensten. E-mail en dergelijke zijn vaak bereikbaar onder een apart IP adres. Maar je hebt verder wel gelijk natuurlijk ;)
XS4ALL doet er ook 40.000 op 1 IP, toch alleen maar goed voor het besparen van IP's?
Dat hebben ze geweten ook toen ze een dDOS hadden op dat ene IP :). Iedereen was gelijk offline. Volgens mij hebben ze na de laatste dDOS dit ook gelijk veranderd.
Als jij 5000 websites host op 1 IP dan doe je toch echt iets fout. Een klant van die 5000 verstuurt een spam mailing en gelijk hebben 5000 klanten problemen om mail te verzenden doordat het IP in diverse blacklists staat.
Het lijkt me zeer onverstandig om zoveel sites op 1 IP te plaatsen.
Ik ben uitgegaan van een cluster omgeving met 1 IP voor de buiten wereld. Het gebruik van meerdere mailservers heb ik niet uitgesloten, maar het is een methode om IP's te besparen aangezien je maar 1 IP per server gebruikt in een cluster en geen 10 IP's terwijl er geen SSL certificaten gebruikt worden.
Uitgaande mail zul je in het geval van een cluster wel moeten filteren om dat zoveel mogelijk te voorkomen (naast eventueel inkomende e-mails).
Daarnaast behoud je de optie om snel het IP voor uitgaande e-mails aan te passen als je nog 2 of 3 IP's daarvoor reserveerd.