Onderwerp: Possible Break-in Attempt!

Hi,

Elke nacht om 04:00 krijg ik van Logwatch een overzicht van de belangrijste logs van wat er op mijn server is gebeurt.

Vanmorgen stond deze erbij:

Code:

Address 216.40.236.242 maps to ev1s-216-40-236-242.ev1servers.net, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT! : 594 time(s)

Kan iemand mij vertellen wat diegene hier doet en wat ik er tegen kan doen?

Thanks!

Gewoon een server die gehacked is en aanvallen op andere servers aan het doen is.
Gewoon even een abuse mailtje sturen..

http://whois.domaintools.com/216.40.236.242

Indeed, precies zoals TCM vertelde...

Ik zou me er niet te druk om gaan zitten maken in ieder geval... Shit happens alot, damn script kiddies :P

De melding zelf houd in:

IP 216.40.236.242 heeft reverse DNS naar ev1s-216-40-236-242.ev1servers.net
Maar ev1s-216-40-236-242.ev1servers.net is geen A record voor 216.40.236.242
(oftewel: A wijst naar B, maar B wijst niet naar A, wat wel zou moeten).

Als dat het enige is zou ik me er niet druk om maken .

De server is niet gehacked. Deze melding geeft alleen aan dat de reverse-DNS entry van het IP naar een hostname verwijst, die andersom niet terug naar het IP verwijst.

Waar in je logwatch-mail stond het?

Het stond in het laatste gedeelte:

**Unmatched Entries**
pam_succeed_if(sshd:auth): error retrieving information about user raul : 2 time(s)
pam_succeed_if(sshd:auth): error retrieving information about user wolfgang : 1 time(s)
pam_succeed_if(sshd:auth): error retrieving information about user baiat : 2 time(s)
... etc. etc. ....

Dus ik neem aan dat hij probeerde in te loggen met SSH ?

* Bedankt voor jullie reacties :-)

Oorspronkelijk geplaatst door Ronald2

Het stond in het laatste gedeelte:



Dus ik neem aan dat hij probeerde in te loggen met SSH ?

* Bedankt voor jullie reacties :-)

Een geautomatiseerd script wat een lijst met namen afwerkt.. niks om je druk om te maken, gebeurd dagelijks. Wil je het voorkomen dan moet je SSH via een andere poort dan 22 gaan draaien (ik ben toendertijd van 15.000 login attempts naar 0 gezakt )

Oorspronkelijk geplaatst door DutchTSE

Een geautomatiseerd script wat een lijst met namen afwerkt.. niks om je druk om te maken, gebeurd dagelijks. Wil je het voorkomen dan moet je SSH via een andere poort dan 22 gaan draaien (ik ben toendertijd van 15.000 login attempts naar 0 gezakt )

He, he, je maakt zelf nooit een tikfoutje?

Oorspronkelijk geplaatst door DutchTSE

Een geautomatiseerd script wat een lijst met namen afwerkt.. niks om je druk om te maken, gebeurd dagelijks. Wil je het voorkomen dan moet je SSH via een andere poort dan 22 gaan draaien (ik ben toendertijd van 15.000 login attempts naar 0 gezakt )

Even offtopic (ietsiepietsie dieper in gaan op de stof ):

Hoewel dit het aantal login attempts omlaag gooit, maakt het de server in de meeste gevallen nauwelijks veiliger oid. In principe zou je server goed genoeg beveiligd moeten zijn om eventuele 'hacks' (eerder bruteforcen...) te kunnen weerstaan. De vele login attempts op poort 22 heb je dus geen last van (wellicht een theoretisch performance verlies).

Het draaien van je SSH op een andere poort zorgt ervoor dat je de login attempts niet meer binnen krijgt (poort 22 zit nu dicht), maar een echte hacker kan die poort vaak zonder problemen achterhalen (port scan) en daarmee alsnog toegang tot je server krijgen (als er iets mankeert aan je beveiliging).

Veranderen van SSH poort is een vorm van security through obscurity.

Oorspronkelijk geplaatst door XBL

Even offtopic (ietsiepietsie dieper in gaan op de stof ):

Veranderen van SSH poort is een vorm van security through obscurity.

100% true. Vaak is het zelfs onveiliger omdat gebruikers 'denken' dan minder hoeven te beveiligen.
Aan de andere kant schoont het wel je logfiles op en kun je meer aandacht geven aan de scripts / personen die zich wél de moeite nemen om je nieuwe ssh-poortnummer te vinden.
Het is een beetje het kaf van het koren scheiden, dus wijzigen van de ssh poort doe ik in principe altijd.

Oorspronkelijk geplaatst door XBL

Het draaien van je SSH op een andere poort zorgt ervoor dat je de login attempts niet meer binnen krijgt (poort 22 zit nu dicht), maar een echte hacker kan die poort vaak zonder problemen achterhalen (port scan)

Lees: echte hacker en een ieder die nmap of een soortgelijke tool weet te starten. Dus iets wat iedereen met het diploma schoenstrikken kan

Oorspronkelijk geplaatst door systemdeveloper

100% true. Vaak is het zelfs onveiliger omdat gebruikers 'denken' dan minder hoeven te beveiligen.
Aan de andere kant schoont het wel je logfiles op en kun je meer aandacht geven aan de scripts / personen die zich wél de moeite nemen om je nieuwe ssh-poortnummer te vinden.
Het is een beetje het kaf van het koren scheiden, dus wijzigen van de ssh poort doe ik in principe altijd.

Verspilde moeite firewall ervoor en klaar ermee, vergeet niet ervoor te zorgen dat je zelf wel via ssh in kan loggen.. scheelt je weer een ritje naar het dc

Je moet vanzelfsprekend nog wel alles redelijk up to date houden maar het verminderd de mogelijkheden om aan te vallen.

Als je toch bezig bent, sluit dan alle poorten behalve wat er nodig is en maak zinvolle regels in je firewall voor de poorten die wel open moeten staan.

Oorspronkelijk geplaatst door crazycoder

Lees: echte hacker en een ieder die nmap of een soortgelijke tool weet te starten. Dus iets wat iedereen met het diploma schoenstrikken kan


Verspilde moeite firewall ervoor en klaar ermee, vergeet niet ervoor te zorgen dat je zelf wel via ssh in kan loggen.. scheelt je weer een ritje naar het dc

Je moet vanzelfsprekend nog wel alles redelijk up to date houden maar het verminderd de mogelijkheden om aan te vallen.

Als je toch bezig bent, sluit dan alle poorten behalve wat er nodig is en maak zinvolle regels in je firewall voor de poorten die wel open moeten staan.

Verspilde moeite? Hoe kom je daar bij?

Met enkele toetsaanslagen ...

# vi /etc/sshd/sshd_config
/22[ENTER]cw<nieuwe poort>[ESC]:w![ENTER]:q[ENTER]
/etc/rc.d/sshd restart[ENTER]

bespaar je een veelvoud aan traffic, diskspace van je logfiles en psychische stress...

Lijkt me wel de moeite waard

Oorspronkelijk geplaatst door systemdeveloper

Verspilde moeite? Hoe kom je daar bij?

Met enkele toetsaanslagen ...

# vi /etc/sshd/sshd_config
/22[ENTER]cw<nieuwe poort>[ESC]:w![ENTER]:q[ENTER]
/etc/rc.d/sshd restart[ENTER]

bespaar je een veelvoud aan traffic, diskspace van je logfiles en psychische stress...

Lijkt me wel de moeite waard

Mij niet

Als je het via de firewall blokkeer bespaar je extra doordat de poortscannende figuurtjes ook geen pogingen naar een andere poort gaan doen.

Oorspronkelijk geplaatst door crazycoder

Mij niet

Als je het via de firewall blokkeer bespaar je extra doordat de poortscannende figuurtjes ook geen pogingen naar een andere poort gaan doen.

Waarom zeg je dan 'Mij niet'? Het bespaart je zelfs nog meer
Maar niet elke gebruiker kan zelf zijn firewall op zijn dedi onderhouden en bij een managed dedi/firewall zul je het zelf moeten doen. Dus dat is imho minder efficient.
Firewall is wel veiliger natuurlijk, maar dan kun je ook aan vlans, kerobos, locale beveiliging, auditing, ids, monitoring, apache modules, whitelists etc... gaan denken. Dit zal allemaal bijdragen tot een uiterst veilige server, maar efficient of prettig om mee te werken e.d. zal die server niet worden

Oorspronkelijk geplaatst door XBL

Veranderen van SSH poort is een vorm van security through obscurity.

Goed goed goed, ik geef toe, mijn reactie was iets te kortzichtig... het voorkomt dat geautomatiseerde scripts je lastig vallen, maar het heeft verder inderdaad niks met security zelf te maken.