Angriffswelle aus dem Iran

easynetwork · 26. Juni 2013

Hallo,

gerade eben habe ich meine Server-Logs routinemäßig durchgeschaut. In der Firewall sind mir vermehrt IPs aus dem Iran aufgefallen, die meinen Server nach offenen Ports gescannt haben, und versucht haben sich bei verschiedenen Diensten "anzumelden". Mein Sicherheitskonzept hat sofort reagiert (für verdächtige Staaten besteht ein zero-tolerence rule, sprich sofortiges Netzwerkweites sperren in der Firewall).

Hierbei geht es um die IP-Range:

188.158.0.0 - 188.159.255.255
89.165.0.0 - 89.165.127.255

Ich wollte daher mal bei euch fragen, wie Ihr euch schützt, oder ob euch auch etwas bekannt ist?

Sven_67 · 26. Juni 2013

Servusle,

also - "Angriffswellen" sind nix Neues. Es sind täglich Hunderttausende, wenn nicht gar Millionen BOT´s/BOTNet´s/ und auch paar richtige Menschen unterwegs, um sämtliche verfügbaren IP´s nach Schwachstellen ab zu suchen.
Verdächtige Staaten ......naja, könnte man also alle als verdächtig einstufen, auch in Deutschland gibt es noch immer Leute, die nicht mehr Herr über ihre PC´s sind und diese fernsteuern lassen (wenn auch unwissend).
Der Großteil scannt - meiner Erfahrung nach - Standardport´s wie den 21 für FTP, 25 für Mail etc.

Da ich aber nicht gern öffentlich über meine "Security" schreibe, nur so viel dazu: Firewall läuft, ist aber nicht so aggressiv eingestellt wie deine. Ich will ja nicht die ganze Welt aussperren.
RKHunter, chkrootkit und Fail2Ban reichen eigentlich.
Naja - ssh ist auch abgesichert, FTP Port nicht Standard usw.

easynetwork · 26. Juni 2013

Moin,

ja, die meisten sind Bot's / bzw automatisierte Scans auf den üblich verdächtigen Ports. Nur was wirklich komisch war, ist, dass ich wirklich hunderte IPs aus den o.g. Netzen bei mir untereinander wiederfinde. Frei nach "Ui, ist die erste IP gesperrt, nehmen wir halt eine andere". Das fand ich schon ungewöhnlich. Normalerweise verteilen sich die IPs alle, aber hier war wirklich innerhalb einer halben Stunde sämtliche IPs aus der o.g. Range bei mir in den Logs. Da dachte ich mir, dass dies eigentlich nicht sein könne.... Daher nur mal so meine Nachfrage...

DoRob · 29. Juni 2013

Ist auch ein verdammt großer Range, der Zweite

mandal · 7. Juli 2014

Ich habe vor Jahren ein Script entwickelt mit dem ich einfach ganze Ranges pro Land über die IPTables sperren kann. Ich persönlich brauche das Script nur für Dev Systeme oder dann wen ich ein neues System aufbaue.

http://dev.w2k.ch/system-tools/blocktraffic

Die einzelnen Zonen werden einmal in der Nacht neu generiert (https://files.w2k.ch/ipblocks/)...

hchristo · 8. Juli 2014

Erstmal Geil für das Script... und das Funktioniert auch?

Lass es gerade durchlaufen...

Zitat

http://puu.sh/a1DNm/a23e5d51df.png

Also richtet er das so ein dass die Zonen automatisch von dem Programm IPtables übernommen werden?

mandal · 8. Juli 2014

Das ist das Ziel, kannst ja nach dem durchlauf mit iptabels -L die aktuellen Regeln anschauen kann aber länger dauern...

Aktuell sind aber egal ob die Range geblockt ist 80 und 443 zugelassen, falls du das so nicht brauchst einfach anpassen und das Script nochmals durchlaufen lassen...

ALLOWPORTS="80,443"

Welches OS verwendest du?

hchristo · 8. Juli 2014

Debian 7 (Debian Version 7.5) 64bit

ja das anzeigen von iptabels -L dauert echt lange

Hat er scheinbar geschluckt... GEILES SCRIPT! Danke dir!!!

mandal · 8. Juli 2014

Kein Problem

eiclinde · 8. Juli 2014

Moin,

die csf Firewall von configserver erfüllt alle o.g. Features und noch etliches mehr:
http://configserver.com/cp/csf.html

Beste Grüße

eiclinde

mandal · 8. Juli 2014

Klar kann das ding mehr aber braucht man das wirklich?
Aber guter Tipp werde mir das ding bei Gelegenheit etas genauer anschauen...

Gruess
ManDal

eiclinde · 9. Juli 2014

ich habe das teil inzwischen auf 90% aller server. schau dir mal die clusterfunktion an...

Beste Grüße

eiclinde

Angriffswelle aus dem Iran

Jetzt mitmachen!

Benutzer online in diesem Thema