Onderwerp: Brute force attacks

Hallo,

Ik heb ergens een Directadmin server. Deze beschikt over BFD en APF. Dagelijks krijg ik een email met logging van een brute force attack. Nou worden de attackers wel netjes geblokkeerd, maar is het normaal dat dit elke dag voor komt?

Ik zoek dus een oplossing die het attacken stopt. Niet hoe ik ssh op een andere poort zet, root login disablen, of login toestaan vanaf een enkel ip..

Zijn er nog enkele maatregelen te nemen?

Thnx!

Redelijk normaal dat je dit soort meldingen binnen krijgt, er zijn verschillende scripts waar eenvoudig een iprange in gezet wordt. Ze weten min of meer welke ranges gebruikt worden voor servers die in datacenters staan. Deze worden vervolgens gescanned getracht in te loggen lukt dit niet of worden ze geblokkeerd gaan ze naar het volgende ip toe.

Inderdaad vrij normaal.
De ene server heeft er meer last van dan andere.

Oorspronkelijk geplaatst door Serve-xs

Hallo,

Zijn er nog enkele maatregelen te nemen?

Thnx!

Je server niet aan het internet hangen ;-) want dit is standaard op het grote boze interwebs..

Kan je niks tegen doen... Hier krijg ik ze ook =)
Als ze je rootwachtwoord gekraakt hebben (wat normaal niet zou mogen omdat je geen root toegang zou moeten willen op SSH) dan krijg je daar ook mail van

Dag Serve-xs,

Ik werk met ip filtering en SSH hop hosts. Vanaf een paar plekken kan ik direct naar al mijn machines en van de rest van 't Internet kan ik alleen via zo'n hop host. Zo kan ik mijn werk doen vanaf de normale plekken. Als ik op zakenreis ben (zoals nu toevallig) moet ik even via een hop host.

Wel zorgen dat je een paar ongerelateerde hop hosts hebt. Voor als er eentje uit gaat.

Kees Jan

SSH op een andere poort draaien helpt ook veel.

Of bij x logins per tijdeenheid y vanaf host z de verbinding droppen.

fail2ban werkt ook heel goed, als een ssh of ftp x maal verkeerd is ingevoerd, wordt het ipadres tijdelijk geblokkeerd (via iptables of host.deny). En fail2ban stuurt een mailtje met ip whois gegevens van de aanvaller naar je mailbox.

Oorspronkelijk geplaatst door mgielissen

fail2ban werkt ook heel goed, als een ssh of ftp x maal verkeerd is ingevoerd, wordt het ipadres tijdelijk geblokkeerd (via iptables of host.deny). En fail2ban stuurt een mailtje met ip whois gegevens van de aanvaller naar je mailbox.

Dat doet LFD ook

Ik zou persoonlijk naar CSF en LFD kijken. Die is wat ruimer in de configuratie en geeft geblokkeerde ip's ook na een ingestelde tijd weer vrij. Ook is deze wat vriendelijker met de FTP settings dan BFD.

EN het zit geïntegreerd in DA. Erg handig kan ik je melden.

Oorspronkelijk geplaatst door ichosting

Ik zou persoonlijk naar CSF en LFD kijken.

Die kan ik je ook aanraden

De features van CSD & LFD zien er goed uit, is deze ook algemeen te gebruiken (zonder DA) op een linuxserver?

Jazeker kan dat
Dat doe ik hier ook op mijn thuis server.
Je configuratie gaat dan via de csf.cfg

jah hoor