Onderwerp: Ik word gek van die brute force attacks

Wat is er aan de hand? is er een soort hack-wedstrijd in Brazilië aan de gang?

De afgelopen dagen zijn hier vol-continue brute force attacks op een aantal users, de meeste afkomstig uit Brazilië.
Met behulp van Ipdeny.com heb ik al een heel zooitje blocks in CSF gegooid. Maar het lijkt wel een soort Distributed Brute-force Attack (geen idee of het bestaat) en komt vanaf wel 20 verschillende ip adressen tegelijk en iedere keer wisselend.

Meer mensen hier last van de laatste dagen? Hoe gaan jullie hier mee om?

Ik wens iedereen veel plezier met brute-forcen.

1. Password auth doen we sowieso nergens op SSH servers, alles key based. Password Auth staat dan ook uit in de sshd_config
2. We hebben een "hop" server, veel machines accepteren alleen SSH connecties vanaf die host
3. Het enige wat het doet is log entries genereren, verder wens ik ze veel succes

Ik zie ze ook redelijk veel binnenkomen, maar net zoals Wido zegt... het genereert alleen een hoop troep in de logs.

Edit: Overigens zie ik ze alleen op de ftp binnenkomen, maar daar hebben we ook alleen maar random passwords van een onmenselijk aantal karakters.

Het meeste is FTP inderdaad.
We hebben difficult passwords op "on" staan, en het zal ook zo ineens niet lukken om daadwerkelijk een account te kraken.
Maar het is gewoon irritant (mede omdat ik iedere 5 minuten een mailtje hiervan krijg)
Zoiets fancy als een hop server hebben we natuurlijk niet hier, maar klinkt goed.

Wij zien ze ook, gek genoeg meer op imap / pop eigenlijk.

Hier met name dovecot maar ook exim en af en toe ftp. Heb zelf CSF in samenwerking met DA brute force monitor. Wel veel mailtjes inderdaad, heb er een special mail adres voor aangemaakt waar alles binnen komt. Paar keer per dag scroll ik er een seconde doorheen en dan mark all as read.

Ik heb niet het idee dat het meer wordt, wel dat het steeds zichtbaarder wordt omdat er steeds meer monitoring methodes zijn.

sed -i 's/brute_force_log_scanner=1/brute_force_log_scanner=0/g' /usr/local/directadmin/conf/directadmin.conf

Staat standaard in het deploy systeem

Veelal FTP, Dovecot en Exim hier ook. Je kunt wel blijven blokkeren, maar dan word je IP-tables entry ook vrij fors. Wat mij wel opvalt is dat er best veel van die buitenlandse partijen zijn die totaal niets met abuse meldingen doen.

Ik doe een temp block voor 24h als in http://www.webhostingtalk.nl/dedicat...ml#post1240159 dan is het goed te doen.

Oorspronkelijk geplaatst door Arieh

Ik doe een temp block voor 24h als in http://www.webhostingtalk.nl/dedicat...ml#post1240159 dan is het goed te doen.

Dat is de correcte manier om het te doen.
In dat soort van landen is een vast IP adres een premium en niet standaard. Mijn ervaring is dat er flink aan overselling wordt gedaan en IP's worden normaalgesproken niet langer dan 24 uur vrijgegeven. Ze forceren iedere 24 uur een nieuwe IP zodat ze met een kleinere pool aan IP adressen weg kunnen komen. Niet iedereen gebruikt iedere dag internet tenslotte.
Een permanente block, blocked uiteindelijk dus de verkeerde personen.

Oorspronkelijk geplaatst door Spyder01

Wat mij wel opvalt is dat er best veel van die buitenlandse partijen zijn die totaal niets met abuse meldingen doen.

In Brazilie (en veel van "die landen") kent men vaak geen engels, ook niet bij de abuse afhandeling. Dus is het niet erg raar dat je abuse melding op dovemansoren valt. Met daarnaast alle gebruikte oversellingstechnieken erbij is het ook nog niet eens makkelijk voor ze om het correct af te handelen. Dus inderdaad.. geen reactie is begrijpelijk.

Oorspronkelijk geplaatst door cfmweb

Met behulp van Ipdeny.com heb ik al een heel zooitje blocks in CSF gegooid.

Zou je dat nu wel doen? Een andere partij kan nu feitelijk bepalen welke ranges jij blokkeert.

@dreamhost, ik raadpleeg daar alleen welke ranges aan bepaalde landen toegewezen zijn (in dit geval Brazilië) en pleur dan het hele land in CSF
Daarbij ga ik er voor het gemak vanuit dat de informatie die daar staat wel klopt.

Maar ik ga de optie om automatisch te blokkeren voor 24 uur eens verder uitpluizen, bedankt daarvoor in ieder geval .

Ik heb naar aanleiding hiervan eens zitten denken aan een centrale blocklist, waar bij bruteforce alerts de hosts ook gelijk op alle servers voor 24 uur (of langer) geblocked zijn. Nou heb ik eens een paar steekproeven gedaan op hosts die in andere netwerken staan en zie niet veel dezelfde hosts. Is dat beeld bij jullie hetzelfde?