Onderwerp: Toename brute-force attacks ?

Je helemaal niks aantrekken van de scans is naar mijn idee het beste. Het is "vertrouwd" achtergrond ruis op internet.

That is, als je zeker weet dat je systemen goed beveiligd zijn. Naar mijn idee (ja, alweer ) zijn tcpwrappers + geen root logins daarvoor een ideale oplossing. Security by obscurity (ssh op een andere poort draaien) is alles behalve een oplossing, zolang je je sshd niet verder beveiligd.

Origineel geplaatst door Digiover
Je helemaal niks aantrekken van de scans is naar mijn idee het beste. Het is "vertrouwd" achtergrond ruis op internet.

That is, als je zeker weet dat je systemen goed beveiligd zijn. Naar mijn idee (ja, alweer ) zijn tcpwrappers + geen root logins daarvoor een ideale oplossing. Security by obscurity (ssh op een andere poort draaien) is alles behalve een oplossing, zolang je je sshd niet verder beveiligd.

Klopt, maar je houdt wel de scriptkiddies grotendeels weg van hun liet0 0days k-otic exploits

Origineel geplaatst door Digiover
[That is, als je zeker weet dat je systemen goed beveiligd zijn. Naar mijn idee (ja, alweer ) zijn tcpwrappers + geen root logins daarvoor een ideale oplossing. Security by obscurity (ssh op een andere poort draaien) is alles behalve een oplossing, zolang je je sshd niet verder beveiligd. [/B]

Het lijkt me dat je alle middelen die je hebt moet inzetten, dus ook obscurity middelen. Daarmee zeef je al een heel groot deel weg, in ieder geval is dat in mijn geval wel zo. Logisch ook want een rechtgeaarde scriptkiddy rammelt alleen aan de defaultpoorten.
Geen root logins lijkt me sowieso een standaardinstelling.

<off-topic>
Oh trouwens: hoi Jan, het is even geleden van Usenet.
"Ken je me nog? Ik jou wel."
</off-topic>

Origineel geplaatst door Redevelopment
<off-topic>
Oh trouwens: hoi Jan, het is even geleden van Usenet.
"Ken je me nog? Ik jou wel."
</off-topic>

Hey Ruben!
(toch? )

Origineel geplaatst door Digiover


Hey Ruben!
(toch? )

Ja in één keer goed. a.h.n zo'n vijf jaar geleden denk ik inmiddels. Die goeie ouwe tijd.

Inderdaad, die login pogingen via ssh met bots zijn echt irritant. Kan een server (kernel) hierdoor eigenlijk crashen? Laat ons zeggen, je krijgt 6 of 7 login pogingen per seconde door, dit langer dan een uur aan een stuk en de server is redelijk belast dus 50% of hoger.

Normaal heeft een server hier weinig last van, en zou hij er zeker niet door mogen crashen. SSH op een andere poort, of firewallen, of intelligente firewall-update-scripts (na 3 verkeerde pogingen van een bepaald IP, IP voor 5 min blocken...) zijn allemaal oplossingen...

Mja, ik heb het gevoel, dat als je server al redelijk veel connecties heeft en een redelijk hoge load door normaal gebruik, en er 7 connecties per seconde bijkomen (dit langer als een uur), dat de kernel toch effe naar lucht moet happen. Ik denk dat er ergens een buffer ofzo volloopt, kan dit?
Kan je voorbeelden geven van goede firewall update scripts?

Voorbeelden kan ik niet geven, wij gebruiken dat niet. Verder moet je het zelf een beetje aanvoelen als de server er last van heeft. Gaat de load spectaculair omhoog? Komen er timeouts, lag,... Indien 'ja', dan moet je ingrijpen...

Ja, de load stijgt op een moment zeer snel, en dan is ie onbereikbaar via de netwerk connectie (buffer overflow, kernel stressed door teveel pakketten, te grote buffer?).

Zijn er mensen die dit ook al meegemaakt hebben?

@Burnout: Weet je zeker dat je machine al niet gehackt is? En een (D)DoS uitstuurt?
Geen enkele (fatsoenlijke) Linux of Unix machine zal last hebben van bruteforce attacks (al dan niet op ssh). Wordt een connectie op ssh meteen gedropped omdat het IP adres niet in de hosts.allow lijst staat (tcpwrappers), dan kost het zelfs vrijwel geen systeem resources.

Indien je hier de mogelijkheden / resources toe hebt, en uiteraard: tijd, speel eens met de sniffpoort op je switch waar de machine aanhangt. Of, als het nog te vertrouwen is, tcpdump op de machine zelf.

Ik heb ergens een firewall bestandje staan dat wordt gedistributeerd onder de servers die ik beheer... zo hebben zij alle dezelfde firewall.

Management servers is ook de truc om dit te voorkomen stukje advanced security.

Offtopic:

Advanced security ? neen..gewoon goed je zaken op orde hebben.. tcpwrappers gebruiken.. geen version disclore... en lekker op een andere poort draaien..en als je al toch bezig bent: SSH Keys gebruiken, scheelt een hoop kopzorgen...

Bovendien kun je ook bij de meeste SSH servers LoginGrace time iets lager zetten, recentelijke SSH exploits moeten eerst de goeie offset vinden.... en dit duurt zowiezo even.. en we mogen toch wel aannemen dat de gemiddelde persoon hier wel binnen 5-10 seconden zijn wachtwoord heeft ingetikt?

Ontopic:
Inderdaad wel een grote increase, maar dit heeft inderdaad te maken met wat worms e.d. zoals DigiOver al zei (In ons geval dan)

Wat is veel ? Wij blokkeren (automatisch) een stuk of ~8 bruteforce attacks per dag, allemaal op SSH (soms een klant die loopt te klooien met FTP, maar die wordt dan weer ge-unblocked).

Soms doe ik nog een whois op de IP's en zie dan dat het Asiatische IP's zijn. Ik neem niet eens meer de moeite ze te reporten, het is toch vechten tegen de bierkaai.

Dit aantal is trouwens inderdaad een stukje toegenomen, maar ik lig er niet wakker van . Misschien SSH maar op een andere poort zetten (hoewel er ook klanten zijn die gebruik maken van SSH en die willen toch eigenlijk altijd zoveel mogelijk 'standaard').

Jochem

Hebben wij ook erg veel last van (gehad). Nu hebben wij een simpel perl scriptje draaien wat checked hoeveel keer er in een bepaalde tijd een foute login van een bepaald IP komt. Het IP wordt dan geblokkeerd door de firewall en men kan bij geen van de servers meer.

Users die bijvoorbeeld perongeluk geblokkeerd raken kunnen zichzelf (of andere personen) via ons control panel unblocken. De blokkering wordt daarnaast ook na 48 uur ook automatisch opgeheven.