Onderwerp: Toename brute-force attacks ?

helaas wel ,

ik las een stuk dat grote internet sites zelfs worden bedreigd door ddos attacks mits ze een grote geld som overmaken,

neem als voorbeeld de site geenstijl.nl die verleden week flink onder vuur was genomen, het is toch vrijheid van meningsuiting wat hun op die site zetten en dat er een paar pubers het er niet mee eens zijn even heel de provider plat legt waar geenstijl word gehost.

hoevaak moet ik wel niet bij kennisen komen om "even hun pc te maken" met netstat -an zie je dat er weet niet hoeveel connecties zijn naar irc netwerken waar hun pc als zombie host word gebruikt.

het enige wat ik zo nog kan bedenken om ddos aanvallen tegen te houden is om internet leveranciers hier verantwoordelijk voor te houden en hun zouden dan grote mega firewalls moeten neerzetten (die zijn er) om zo doende syn floods , udp floods etc te filteren.
Misschien zou het nog wel eens handig zijn om bepaalde netwerken in china af te sluiten.

Origineel geplaatst door sander
helaas wel ,

ik las een stuk dat grote internet sites zelfs worden bedreigd door ddos attacks mits ze een grote geld som overmaken,

neem als voorbeeld de site geenstijl.nl die verleden week flink onder vuur was genomen, het is toch vrijheid van meningsuiting wat hun op die site zetten en dat er een paar pubers het er niet mee eens zijn even heel de provider plat legt waar geenstijl word gehost.

hoevaak moet ik wel niet bij kennisen komen om "even hun pc te maken" met netstat -an zie je dat er weet niet hoeveel connecties zijn naar irc netwerken waar hun pc als zombie host word gebruikt.

het enige wat ik zo nog kan bedenken om ddos aanvallen tegen te houden is om internet leveranciers hier verantwoordelijk voor te houden en hun zouden dan grote mega firewalls moeten neerzetten (die zijn er) om zo doende syn floods , udp floods etc te filteren.
Misschien zou het nog wel eens handig zijn om bepaalde netwerken in china af te sluiten.

Firewall allemaal leuk lief een aardig, maar als data eenmaal op weg is bevuil je toch een netwerk. Men zo dan moeten filteren dat op het "grote" netwerk niks komt, dus voordat je iets de transits op stuurt er gefilterd wordt.

dat bedoel ik dus

Origineel geplaatst door Beyonder
Misschien, maar soms hebben ze zelf de tijd of kennis er niet voor Plus je hebt dan meerdere partijen die een dossier moeten opmaken. Ik zie voordelen in mijn methode. Degene met wie we coordineerden ook.

Hackers, DDOS en al dat spul is een groot probleem op Internet, helaas is het een probleem dat niet snel en effectief op te lossen is.

Tuurlijk wel, lees jij tweakers.net niet Beyonder?

Binnekort als de antivirus software in de routers van 'het Web' zitten geintegreerd zullen de meeste virussen en dus ook DDOS wormpjes gestopt worden tijdens het verspreiden.. dan kunnen ze enkel nog alleen in de ISP verspreiden of misschien helemaal niet meer.

Dit zou een stap in de goede richting zijn. Misschien dat de website van Trend Micro hier al iets van bekend heeft gemaakt

-

Ontopic:

Die ssh bruteforce scripts die uitgekomen zijn zullen ook wel 1 van de oorzaken zijn. Scriptkiddies die in azie een servertje inpikken en dan massaal nederlandse server gaan proberen te pakken.. triest eigenlijk..

dit gaat de heledag door

Oct 13 12:49:01 skyberate sshd[17213]: Failed password for root from 69.41.236.202 port 51778 ssh2
Oct 13 12:49:01 skyberate sshd[11699]: Failed password for root from 69.41.236.202 port 51783 ssh2
Oct 13 12:49:01 skyberate sshd[12897]: Failed password for root from 69.41.236.202 port 51783 ssh2

elke seconde wel stuk of 10 pogingen van dat zelfde ip, dan weer andere ip's mijn hele logs zitten er vol van

lol

is het dan niet beter om ssh achter de firewall te zetten? ik neem dan aan dat er verder geen klanten zijn die er gebruik van maken. en om het helemaal leuk te maken, zet hem op een andere port en achter de vuurmuur. Ik draai ook freeBSD maar heb er "nog" niet echt last van.

meer eigen gebruikers die hun PW na de eerste keer op de FTP nog niet weten :P en pas na 3x wel. elke dag :P

Origineel geplaatst door MaffeMuis
is het dan niet beter om ssh achter de firewall te zetten? ik neem dan aan dat er verder geen klanten zijn die er gebruik van maken. en om het helemaal leuk te maken, zet hem op een andere port en achter de vuurmuur. Ik draai ook freeBSD maar heb er "nog" niet echt last van.

meer eigen gebruikers die hun PW na de eerste keer op de FTP nog niet weten :P en pas na 3x wel. elke dag :P

nah denk dat ssh poorten omhoog takelen naar een hogere poort al veel wonderen doet, al die scanners lopen dan al door.

ik zie het hier ook:
Oct 10 13:02:27 srv02 sshd[6599]: Failed password for test from 12.111.217.197 port 57562 ssh2
Oct 10 13:02:28 srv02 sshd[6601]: Illegal user guest from 12.111.217.197
Oct 10 13:02:28 srv02 sshd[6601]: Failed password for illegal user guest from 12.111.217.197 port 57613 ssh2
Oct 10 13:02:29 srv02 sshd[6603]: Illegal user admin from 12.111.217.197
Oct 10 13:02:29 srv02 sshd[6603]: Failed password for illegal user admin from 12.111.217.197 port 57656 ssh2
Oct 10 13:02:35 srv02 sshd[6605]: Illegal user admin from 12.111.217.197
Oct 10 13:02:35 srv02 sshd[6605]: Failed password for illegal user admin from 12.111.217.197 port 57925 ssh2
Oct 10 13:02:36 srv02 sshd[6607]: Illegal user user from 12.111.217.197
Oct 10 13:02:36 srv02 sshd[6607]: Failed password for illegal user user from 12.111.217.197 port 57976 ssh2
Oct 10 13:02:37 srv02 sshd[6609]: Failed password for root from 12.111.217.197 port 58039 ssh2
Oct 10 13:02:38 srv02 sshd[6611]: Failed password for root from 12.111.217.197 port 58089 ssh2

en zo maar verder..

Wij krijgen veel van deze meldingen te zien:

The remote system 210.250.51.252 was found to have exceeded acceptable login failures on primary.webhostingtalk.nl. As such the attacking host has been banned from further accessing this system; for the integrity of your host you should investigate this event as soon as possible.

The following are event logs for exceeded login failures from 210.250.51.252 (all time stamps are GMT +0200):
----
- Executed actions:
/etc/apf/apf -d 210.250.51.252

[ Edit ]

Erger als dat ik dacht.

Oct 13 05:31:30 debian sshd[7034]: Failed password for root from 211.241.167.205 port 3478 ssh2
Oct 13 05:31:30 debian sshd[7035]: Failed password for root from 211.241.167.xxx port 3479 ssh2
Oct 13 05:31:30 debian sshd[7040]: Failed password for root from 211.241.167.xxx port 3510 ssh2
Oct 13 05:31:31 debian sshd[7042]: Failed password for root from 211.241.167.xxx port 3539 ssh2
Oct 13 05:31:31 debian sshd[7043]: Failed password for root from 211.241.167.xxx port 3555 ssh2
Oct 13 05:31:31 debian sshd[7044]: Failed password for root from 211.241.167.xxx port 3556 ssh2
Oct 13 05:31:31 debian sshd[7045]: Failed password for root from 211.241.167.xxx port 3557 ssh2
Oct 13 05:31:31 debian sshd[7047]: Failed password for root from 211.241.167.xxx port 3559 ssh2
Oct 13 05:31:33 debian sshd[7057]: Failed password for root from 211.241.167.xxx port 3723 ssh2
Oct 13 05:31:33 debian sshd[7060]: Failed password for root from 211.241.167.xxx port 3771 ssh2
Oct 13 05:31:33 debian sshd[7054]: Failed password for root from 211.241.167.xxx port 3694 ssh2
Oct 13 05:31:33 debian sshd[7053]: Failed password for root from 211.241.167.xxx port 3691 ssh2

Dezelfde ip's inderdaad, en flink wat per seconde ...

En dat op een vrij niet-commerciele server

Edit: Laten we al die ip's bij mekaar proppen, zou flinke db worden.

Ik heb er al aardig wat in mijn firewall staan voor alle servers, zo heeft er niemand last van

@Domenico
Ik ben ook goed bevriend met APF Firewall . Voor de mensen die het nog niet kennen: http://www.rfxnetworks.com/apf.php.

Het gaat hier ook de hele dag door. Op dit moment wordt er dagelijks per server een nieuwe firewall (iptables) geplaatst, aangezien ieder IP waardoor er gescanned is een week in de drop list komt te staan.
Dit werkt tot nog toe wel goed.

(IP éénmalig invoeren zorgt ervoor dat alle servers bij de volgende update het in de firewall hebben staan, heel erg handig systeem )

Maar er zou op korte termijn echt iets aan gedaan moeten worden eigenlijk, het is toch te gek voor woorden als er per server een scan of 10 per dag zijn...

ikke nog helemaal nergens last van..

behalve dan van scriptkiddies die proberen Apache om zeep te helpen en dan vergeten de Apache op hun eigen thuispc (met de root op hun map met tools) uit te zetten..

SSH instellen met root uitgeschakeld, enkel de admins kunnen inloggen als user en daarna su doen. Een losstaand IP en een andere poort dan de standaardpoort icm een firewall en filtering.. zo heb ik het op het moment en lijkt me ook de beste optie..