bruteforce problemen

[servermonster]

Hallo, ik heb sinds de laatste dagen last van een enorme berg met bruteforce attacks, meestal nullroute ik die ip adressen dan per hand, enkel lijkt het erop dat ze alsnog toegang hebben :/

route add -host **.**.**.** reject
route add **.**.**.** gw 127.0.0.1 lo

als ik dan ip route get **.**.**.** opvraagt zegt hij

webserver29:~# ip route get **.**.**.**
RTNETLINK answers: Network is unreachable
webserver29:~#

en dan later in directadmin bij de bruteforce logs kijk staat die gladjanus er mooi weer tussen :s

iemand een idee om dit te oplossen?

[joriz]

Waarom gebruik je niet zoiets als ConfigServer Security & Firewall? Dan worden Bruteforces automatisch gedetecteerd en geblokkeerd?

[servermonster]

kga er eens mee knoeien heb eerst ff tijdelijk de ssh port op een andere gezet. Bedankt voor je snelle reactie

[servermonster]

Bedankt joriz,
alles is nu opgelost
ga dit tooltje zo ff op alle (43) servers installeren.

[dreamhost_nl]

Uit interesse: Wat had je hiervoor dan draaien als Firewall, want in elke Firewall die ik ken zit wel iets waarmee automatisch een BruteForce aanval wordt gestopt.

[The-BosS]

Als je dan toch 43 servers hebt, waarom gebruik je dan geen firewall voor allemaal die servers. Het moet daarom geen watchguard, juniper, cisco, sonicwall, ... zijn maar een pfsense, vyatta of andere opensource firewall zou ook al genoeg zijn. Dit belast je servers minder en je hebt het voordeel dat je dan niet in iedere server opnieuw een bruteforce moet ontdekken en je algemene regels kan toepassen.

[davinci]

ga dit tooltje zo ff op alle (43) servers installeren.

*proest*
En dat doe je 'ff' na het 'tooltje' nog geen 30 minuten getest te hebben.

[wijtec]

Voor ssh (en andere services) kan je ook mooi fail2ban gebruiken, werkt erg goed

P.S. vergeet niet overal je zelf in ignore en/of allow te zetten, zodat je zelf nooit geblockeerd word

[Wido]

Ik lig persoonlijk nooit zo wakker van brute-force aanvallen op de SSH.

Beste is imho om password authenticatie volledig UIT te zetten en enkel key-based SSH toe te staan.

[websiteondemand]

denyhosts, ssh op andere poort, ssh alleen open voor bepaald ip, firewall rules en mods, ...

[dreamhost_nl]

... en je hebt het voordeel dat je dan niet in iedere server opnieuw een bruteforce moet ontdekken en je algemene regels kan toepassen.

CSF/LFD kun je ook in een cluster draaien, waarmee je in één keer één Brute Force poging voor alle servers blokkeert.

[dreamhost_nl]

Ik lig persoonlijk nooit zo wakker van brute-force aanvallen op de SSH.

SSH over een andere poort resulteerde hier in een teruggang van 100% aan Brute Force pogingen voor SSH.

[Wido]

SSH over een andere poort resulteerde hier in een teruggang van 100% aan Brute Force pogingen voor SSH.

Wat schiet je daar nu echt mee op? Imho is het alleen maar vervelend om SSH op een andere poort te draaien.

Wij doen verder veel met de hosts.allow/deny icm key-based authentication, maar SSH op een andere poort?

A: Het is veel werk om het overal om te configureren
B: Bij het connecten moet je altijd een andere poort opgegeven
C: Het maakt je systeem niet veiliger

Maar die discussie is hier al vaker gevoerd

[dreamhost_nl]

Inderdaad is die discussie al vaker gevoerd. Ik kan nl. ook weer legio verweren verzinnen waarom dit nu wel aan te raden is...

[websiteondemand]

Inderdaad is die discussie al vaker gevoerd. Ik kan nl. ook weer legio verweren verzinnen waarom dit nu wel aan te raden is...

+1