Onderwerp: Help! Onze server verzend Spam

Verleden jaar nog een hotel gehad waar alle Wifi routers voorzien waren van "alternatieve" software. Connecteerden met een ip in Oekraïne. De gasten hadden klachten over slechtere ontvangst in één deel van het hotel. Die bepaalde router was fout gelopen na de "update". Ergste was dat de leverancier van het netwerk niks kon vinden. Die vond zelfs dat de kreupele router goed werkte. Vermoedelijk dus alleen de ontvangst sterkte bekeken en dan niet doorgehad dat hij aanlogde op een andere router. Maar er is een historie van klachten over ontvangst en de leverancier is 't blijkbaar een beetje beu geworden.

Hoe lang dit geduurd heeft, weet ik niet. Geen RTC in de router en zeker al enkele keren stroomuitval geweest, dus logs ook weg.

En het gat in die routers is er nog steeds, want de fabrikant maakt geen firmware updates meer.

Wat mij verbaasd aan dit verhaal, is dat de websites plat gingen door de spamvloed. Trok die spamrun de volledige verbinding dicht waardoor de sites plat leken te zijn, of .. ?

Waar staat dat de websites down gingen?

Oorspronkelijk geplaatst door Randy

Daar is zeker wel wat aan te doen. Met mod_geoip alle landen behalve Nederland blokkeren. En dan per user uitzonderingen toelaten. Ik heb ooit eens een wrapper geschreven voor proFTPd dus wellicht zou zoiets ook te implementeren zijn in de MTA. In Exim kun je prima Perl scripts gebruiken voor autorisatie. Bij DirectAdmin servers is dit zelfs de default.

Dat vind ik een wat vreemde oplossing. Ten eerste ga je er dan van uit dat je enkel aan Nederlanders verkoopt, en ten tweede ga je er van uit dat Nederlanders nooit vanuit het buitenland inloggen.

Oorspronkelijk geplaatst door visser

Het is gewoon niet de grootste bron van hacks/password verliezen, ook al is het voor techneuten misschien een simpele, of fraaie, of spannende bron, of de manier die _zij_ zouden kiezen. In de fysieke wereld is lockpicking ook niet de methode van de meeste inbraken.

Dus doe jij maar een goedkoop slotje op je voordeur? Vreemde redenatie.

Ten eerste denk ik dat je grof onderschat hoeveel wifi sniffing en soortgelijke spionage voorkomt (zeker als je veel IT bijeenkomsten bezoekt, maar ook in het algemeen). Ten tweede; ook al is het niet de voornaamste manier van hacken.. dat is toch absoluut geen reden om er geen rekening mee te houden?

Oorspronkelijk geplaatst door Apoc

Dus doe jij maar een goedkoop slotje op je voordeur? Vreemde redenatie.

Is de meeste aandacht/investering richten op het grootste probleem nou een raar concept ?

Het grootste probleem qua inbraak risico is voor een normaal huis gewoon _niet_ de meester-lockpicker.
(Wel de koevoet, bahco op de cilinder, of uitboren). Hoe spannend (en makkelijk) picken er ook uit ziet in de film.

Gewoonlijk werk je zonder onbeperkt budget, en accepteer je ergens een resterend risico, en dan is een pick-proof cilinder in een deur zonder secustrips een heel domme keuze. Heb je genoeg geld en tijd om _alles_ perfect te doen, geweldig, leef je uit.

Of in server termen, eerst een dubbele harddisk , dubbele voeding, en de vraag hoe een (elk) DC ligt t.o.v. NAP komt pas een heel eind later.

Oorspronkelijk geplaatst door Apoc

Ten eerste denk ik dat je grof onderschat hoeveel wifi sniffing en soortgelijke spionage voorkomt (zeker als je veel IT bijeenkomsten bezoekt, maar ook in het algemeen). Ten tweede; ook al is het niet de voornaamste manier van hacken.. dat is toch absoluut geen reden om er geen rekening mee te houden?

Ik heb volgens mij de TS duidelijk genoeg aangeraden wat (volgens mij) zijn prioriteit zou moeten zijn :
Eerst de endpoints .

Als TS aanneemt dat het password verlies "vast wel vanwege wifi sniffen komt", omdat iedereen roeptoetert dat dat zo vaak gebeurt, dan is het password veranderen genoeg om dit probleem op te lossen. (en daarna het wifi verhaal oplossen)
En dan zou TS potentieel door blijven werken op een trojaned PC, of op een trojaned server.

Met een beetje pech qua aanwezige gegevens/accounts zou dat hem ECHT in de problemen kunnen brengen, veel zwaarder dan een password verlies waarmee een spamrunnetje gedaan kon worden.

Het is zeker goed om _ook_ te zorgen dat je geen risico loopt als mensen het netwerk verkeer tussen jou en je server sniffen , en dat heb ik ook geschreven.
Maar de eerste uitzoek/verbeterpunten moeten m.i. liggen op de plek waar het het vaakste misgaat, zolang je geen idee hebt waar het in jouw specifieke geval misgegaan is of waarom je een afwijkend risicoprofiel zou hebben.
En als je die meest waarschijnlijke probleempunten zou overslaan of een te lage prioriteit geven omdat je je aandacht onterecht richt op minder waarschijnlijke zaken is dat niet goed.

Voor wat betreft mijn natte vinger schatting van de relatieve frequentie van password verlies door dictionary botjes en trojans die oogsten op de pc versus wifi sniffing , van de eerste twee kun je massaal voorbeelden vinden _dat het ook zo gebeurt_.
Van de laatste hoofdzakelijk "het zou kunnen" en "als ik onethisch was zou ik het zo doen en dat zou werken".
_Dat_ het kan weet ik ook wel, en trek ik niet in twijfel. Voor de stelling dat het vaak en massaal gebeurt wil ik meer horen dan "ik zou het kunnen doen" .
(Rondlopen op een hacker beurs en dan gesniffed worden zijn geen ondersteuning voor een stelling dat sniffen _vaak_ gebeurt. CEO's van de fortune 500 hebben ook een bijzonder risico profiel.)

Dus nogmaals mijn advies voor TS : Ja, wees je óók bewust van de mogelijkheid van sniffers op een wifi (of tussenliggend) netwerk.
Gaan passwords daar plaintext overheen, los dat op.
Maar richt je eerst en vooral op je server en client(s) als risico factor.

Oorspronkelijk geplaatst door visser

Is de meeste aandacht/investering richten op het grootste probleem nou een raar concept ?

Nee, maar het gebruik van een VPN kost zeer weinig geld en tijd. Je kan dan wel een lang betoog houden over het idee dat het een laag risico is, maar het potentiele probleem is zo makkelijk op te lossen dat er geen enkele aanleiding is om er nog langer over na te denken. Jouw voorbeeld over lockpicking waar het grootste deel van je tijd en budget naar een pick-proof cilinder gaat, is wat dat betreft geen goede vergelijking.

Ik zie in mijn logfiles doorgaans geen brute force attacks op de SMTP accounts die misbruikt worden voor het versturen van spam. Eerste contact meteen ingelogd... Ze sniffen echt wel ergens het password, dat kan zowel op de client als op het netwerk gebeuren. Zelf heb ik van dichtbij meegemaakt dat het op het netwerk werd gesnifd, maar het merendeel zal inderdaad gewone Windows gebruikers betreffen.

Oorspronkelijk geplaatst door Apoc

Nee, maar het gebruik van een VPN kost zeer weinig geld en tijd. Je kan dan wel een lang betoog houden over het idee dat het een laag risico is, maar het potentiele probleem is zo makkelijk op te lossen dat er geen enkele aanleiding is om er nog langer over na te denken. Jouw voorbeeld over lockpicking waar het grootste deel van je tijd en budget naar een pick-proof cilinder gaat, is wat dat betreft geen goede vergelijking.

Aan analogie is nooit perfect, en inderdaad is zorgen dat er geen plaintext accounts over het netwerk gaan (wifi of niet) gelukkig wel goedkoop en redelijk eenvoudig.
Wel relevant in de analogie is dat focussen op één mogelijk lek en andere (veel voorkomende) lekken niet aanpakken niet handig is.
En dat ontbrak in de aanbevelingen van de 'het zal wel wifi geweest zijn want dat zou ik makkelijk kunnen' posters.