Onderwerp: hack poging ?

Hoi.

De laatste dagen wordt er vanaf een paar IP-adressen herhaaldelijk geprobeerd onze (windows 2003) systemen te benaderen. Ik zie dit in de eventlog. Pogingen zijn om eerst SQL servers te benaderen via poort 1433, met usernames als root, sa etc.. en daarna FTP met de username administrator. De poging gebeurd per ip-adres zo'n duizend keer achtrer elkaar.

Iemand enig idee wat ik hieraan kan doen, behalve blokken? Wat kan de oorzaak zijn dat al onze server worden bestookt met dit soort zaken? Hoe kom ik er af ? en hoe kan ik uitvinden wie en waarom dit gebeurd.

Voorbeeld source ip's:

203.201.252.109
59.42.73.69
83.146.53.45
80.231.158.29



mvg,

Janwillem

Firewall opzetten + bruteforce detectie ?

Wanneer je daar vanaf wilt: APF & BFD installeren
http://www.rfxnetworks.net/proj.php

eh nog even een toevoeging het zijn allemaal windwos 2003 server machines. en sinds 2003 nooit dit soort problemen gehad.

Hmmm, dan gaan APF en BFD niet werken nee

is niet enkel op windows hoor
Vandaag net hetzelfde op een Linux-server.

Voor Windows heb je ook ftp-servers die je automatisch kan laten blacklisten als 'k me niet vergis.

80.231.158.29

die vond ik ook in onze logs

Och, zelfs mijn privé routers staan vol met die ongein

Zeker weer een paar scripkiddies die een telefoonboek hebben overtypt

Oorspronkelijk geplaatst door systemdeveloper

Och, zelfs mijn privé routers staan vol met die ongein

Zeker weer een paar scripkiddies die een telefoonboek hebben overtypt

ja dat geloof ik. maar ik zou er voor willen zorgen dat iemand slecht 5 x zo'n poing kan doen ipv 1000 keer. you never know...

Oorspronkelijk geplaatst door CharlieRoot

80.231.158.29

die vond ik ook in onze logs

Blij dat te horen, dan is het in ieder geval niet op ons specifiek gericht..

Heb er ook al jaren last van. Zorg iig dat niemand dingen als SSH toegang krijgt als dat niet echt nodig is. Want wat ze uiteraard proberen is woordenboek woorden als login / pass testen op je ssh en database poorten. En klanten zijn meestal nogal laks met wachtwoorden..

Overigens zou ik ook geen externe connecties op je database toestaan!

Op mijn linux-bak staat fail2ban (kan echter door door iptables en packet-tagging)... werkt perfect...

Voor windows weet ik het niet...

Ik zou me geen zorgen maken. Geen externe connectie smet je DB zoals eerder is gezegd, en goede passworden van FTP etc.....

Zo wordt ee domein bij ons ook elke dag wel geattacked met meeste voor de hand liggende usernames

[QUOTE=janwillem]maar ik zou er voor willen zorgen dat iemand slecht 5 x zo'n poing kan doen ipv 1000 keer.
QUOTE]

Waarom mogen ze wel 5 keer proberen? 't lijkt me toch beter om deze ip's voor goed te blacklisten.

Oorspronkelijk geplaatst door Serve-xs

Waarom mogen ze wel 5 keer proberen? 't lijkt me toch beter om deze ip's voor goed te blacklisten.

Je wilt je klanten toch niet op IP level gaan blokkeren als ze per ongeluk 2x het verkeerde wachtwoord intikken (omdat hun caps-lock aanstaat). Daarom geef je iemand 5 kansen. Als ze daarna doorgaan blokkeer je ze automatisch, zodat ze niet het complete woordenboek of een common password list kunnen aflopen.
Ik zou zelf nog eerder 20 pogingen toetstaan. Ik heb wel eens iemand geblokkeerd die gewoon z'n ftp programma op de achtergrond aanhad staan met een hele zooi retry's en het verkeerde wachtwoord