Onderwerp: LeaseWeb blokkeert IPs van servers waarop phishing websites staan

Uiteraard bedoel ik niet dat phishing getolereerd moet worden, maar ze zouden wel tenminste een waarschuwing mogen sturen. Hier even het verhaal;

Deze ochtend bleek mijn server onbereikbaar te zijn. remote reboot etc werkten niet dus ik mail de supplier van mijn servers om 7u47. Ik krijg een reactie om 8u52:

---
Hallo,

Leaseweb blijkt het ip-adres geblokkeerd te hebben om onderstaande melding.

We werken eraan het ip weer vrij te krijgen waarna u per direct de betreffende site dient te verwijderen.

Met vriendelijke groet
---

De volgende mail komt aan om 10:00

---
Ik zie dat het ip weer actief is gemaakt door Leaseweb. Kan je zorgen dat de betreffende site wordt verwijderd?
--

Dus ik ga onmiddelijk aan de slag om de account te suspenden, maar om 10u04 ligt alles er weer uit... Waarna deze mail volgt;

---
Hoeveel tijd heb je nodig om de site te verwijderen? Leaseweb heeft het ip alweer afgesloten omdat de site nog steeds online bleek te zijn.
---

Pas om 11u05 is de server opnieuw bereikbaar. Dit is de uitleg;

---
Volgens leaseweb worden phising sites per direct afgesloten. Blijkbaar is dit een nieuw beleid. Ik hoop dat ze zelf ook inzien dat dit geen werken is.
---


Het komt er dus op neer dat, hoewel een host onmogelijk iedere dag iedere pagina van iedere klant kan controleren op phishingsites, de volledige server offline wordt gehaald bij de eerste klacht, zonder de klant te waarschuwen of zelfs maar op de hoogte te stellen. Vervolgens krijgt de klant 4 minuten om uit te zoeken welke user hiervoor verantwoordelijk is en deze account offline te halen, zoniet wordt de server terug gedurende minstens een uur platgegooid.

Is dit enigszins een normale manier van zaken doen of zou ik beter op zoek gaan naar een andere provider?

Als het gaat om dit bericht:
http://www.webwereld.nl/articles/407...-te-halen.html

Dan denk ik dat LeaseWeb een goede maatregel heeft genomen om je tijdelijk af te sluiten. Enig idee hoe groot de schade kan worden als geïnfecteerde PC's updates van de website van een klant van jou downloaden? Erg groot.

Wel ben ik van mening dat LSW een melding had mogen sturen naar jou + de reden van afsluiting.

Het updaten van een virus is nog iets anders dan een phishing website imo...

Het is een lapmiddel, maar het kan gewoon niet anders. Het probleem moet direct geisoleerd worden om de schade zoveel mogelijk te beperken. Dat de rest van de websites op een bepaald IP dan ook niet meer werkt, dat is een vervelende bijwerking. Er moet direct worden opgetreden om erger te voorkomen. Dat doet Leaseweb zo te horen perfect!

Ben het met xCAT eens, maar een notify of een published blacklist is natuurlijk wel op z'n plaats.

Onze ervaring bij Leaseweb met spam en phishing meldingen zijn eigenlijk heel positief. Er wordt normaal altijd eerst melding gemaakt met het verzoek binnen 24 uur matregelen te treffen en terugkoppeling te geven naar Leaseweb.

Tot nu toe altijd erg goed afgehandeld, en in deze gevallen heb ik ook nog nooit voor de extra support hoeven betalen.

Alle keren dat het tijdelijk blokkeren van IP's nodig bleek, hebben wij netjes een meldig gehad met de rede.

Denk dat de TS vooral bedoeld, dat je pas naar een uur reactie krijgt en de server weer aan gaat, en je vervolgens zelf 4 minuten de tijd krijgt om het te verwijderen. Die 4 minuten lukt niet en je kan vervolgens weer een uur wachten en intussen boze telefoontjes van je klanten beantwoorden.

[QUOTE=assemble]Uiteraard bedoel ik niet dat phishing getolereerd moet worden, maar ze zouden wel tenminste een waarschuwing mogen sturen. Hier even het verhaal;

Deze ochtend bleek mijn server onbereikbaar te zijn. remote reboot etc werkten niet dus ik mail de supplier van mijn servers om 7u47. Ik krijg een reactie om 8u52:

.................................................. .................................................. ...........................QUOTE]

misschien makkelijker om de 2e nic voortaan op een backupnetwerkje te zetten zodat je via het backupnetwerk je server nog altijd kan benaderen!
Maar goed het Leaseweb had je wel even kunnen waarshuwen....

Hehe wat grappig

Bij ons exact hetzelfde geval. Het nullrouten van het IP doen ze in een wip, maar vervolgens de boel weer online zetten duurt uren. Even boos achteraan gebeld en toen was het zo geregeld.

ze kunnen toch best alleen ssh poort open laten, dan kun je er tenminste bij, jij blij zij blij

Soms kan het zo makkelijk zijn hé

Vind het echt absoluut niet kunnen dat servers zonder enige mededeling aan de eigenaar geblocked worden. Is het urgent, pak dan de telefoon..

Als ze blocken en dan per e-mail een melding sturen mag je hopen dat je e-mail niet via die server loopt

Trouwens.. als je meerdere IP's per server hebt dan kan men ook gewoon 1 ip blocken waardoor een massa sites plat gaan maar niet alles en de beheerder gewoon maatregelen kan nemen.

Zodra een ISP op de hoogte is moet deze handelen. Doet de ISP dat niet, dan is deze door nalatigheid verantwoordelijk voor eventuele verdere schade. Leaseweb is dus verplicht om op deze manier op te treden!

Phishing scams zijn zeer schadelijk, niet alleen voor netwerken, maar nog meer voor de mensen die dergelijke e-mail krijgen en zeker in de eerste paar uur dat er zulke mails rondgaan. Dat een ISP het beleid heeft om gelijk een IP te blokkeren is alleen maar aan te moedigen om de 'domme' internetgebruiker te beschermen. Dit zouden eigenlijk meer ISP's moeten doen.
Overigens: kun je er intern niet bij dan? Voor zover ik weet blokkeren ze bij Leaseweb op hun edge routers, dus zou je binnen je eigen subnet er altijd bij moeten kunnen.

Oorspronkelijk geplaatst door repsaj

Denk dat de TS vooral bedoeld, dat je pas naar een uur reactie krijgt en de server weer aan gaat, en je vervolgens zelf 4 minuten de tijd krijgt om het te verwijderen. Die 4 minuten lukt niet en je kan vervolgens weer een uur wachten en intussen boze telefoontjes van je klanten beantwoorden.

Inderdaad, en zoals in een onderstaande post ook vermeld; ze konden tenminste de SSH poort open laten staan of laten weten waarom ze de server offline haalden, dan had ik ook niet met die remote reboot moeten gaan prutsen... Werkelijk zeer frustrerend als klanten dan vragen waarom de server offline is en ik kan ze niets vertellen.

Oorspronkelijk geplaatst door skunkah

Zodra een ISP op de hoogte is moet deze handelen. Doet de ISP dat niet, dan is deze door nalatigheid verantwoordelijk voor eventuele verdere schade. Leaseweb is dus verplicht om op deze manier op te treden!

Zelfs als dat het geval is kunnen ze tenminste nog een mailtje sturen, liefst op voorhand, desnoods vlak erna, maar ik wist pas uren na het offline halen van de server wat er aan de hand was.