Japans IP-adres laat me maar niet met rust!

[XanderDrake]

Hey allen,

Al een week of twee heb ik een FreeNAS server draaiende. Heerlijk systeempje, erg oud, Pentium 233mhz en 128mb sdram, FreeNAS zelf is gebaseerd op FreeBSD voor de mensen die het niet kennen.
Persoonlijk vind ik het leuke aan zon NAS server is de web interface, je kan overal te wereld je instellingen aanpassen, gebruikers toevoegen, logs checken, enz. enz...
Mijn servertje gaat naar buiten via mijn Linksys WRT54GL router, met ongemodde firmware.

Maar, sinds 4 dagen word ik con-ti-nue bestookt door een IP adres uit Japan. Elk uur van de dag, tientallen keren per minuut probeert ie allerlei wachtwoorden uit. Waarschijnlijk is het een zombie\bot, die naar binnen wil via een brute-force attack.
Ik word er een beetje para van... Ik heb al de ports van mijn web interface veranderd ipv de standaard port 80. maar dat haalde blijkbaar niets uit.

Nou is mijn vraag, kan mijn router (gezien zijn opensource achtergrond) zo ingesteld worden dat dit IP adres geblocked wordt? Ikzelf heb tot nu toe alleen gevonden hoe ik IP block van binnen uit, oftewel, dat mn pc's bepaalde ip niet kunnen opvragen.

BVD!

[CyBeR]

Da's idd een zombie. Lekker laten gaan. Zolang je geen root access hebt moet 'ie dan dus een correct username en wachtwoord gaan raden. Als je je om al dit soort dingen zorgen gaat maken ben je binnen de korste keren een wrak, en ook nog 's 24 uur per dag bezig om firewall rules aan te maken.

[XanderDrake]

Aha, ok. Gewoon laten gaan dus.
Ik moet zeggen dat ik me er niet gerust onder voel

Ik heb om te testen de build-in firewall uit gezet. Denk je dat het aanzetten daarvan zal helpen? Ik bedoel, de inlog box is gewoon beschikbaar, dus als ie de goede inlog gegevens gokt is ie sowieso binnen.

[Verwijderd]

Zorg wel dat je een zo lang en goed mogelijk wachtwoord in de tussentijd pakt. Dus iets met nummers, letters en hoofdletters afgewisseld.

Hoe je dat IP kan blokken weet ik helaas niet, maar deze tip lijkt mij voor de tussentijd wel belangrijk.

[CyBeR]

Aanzetten is sowieso een goed idee maar zal hier idd niet tegen helpen.

Ik krijg elke dag enkele duizenden inlogpogingen te verwerken op m'n SSH en FTP servers, en dat zijn allemaal programma's die gewoon een zooi voorbedachte (en theoretisch vaak gebruikte) inlognamen en wachtwoorden proberen. Dus zolang jij een moeilijk wachwoord hebt (dus niet gewoon een naam ofzo en ook van een redelijke lengte, en leestekens zijn ook geen slecht idee) zit je wel goed. Als er serieus gebruteforced wordt (random combinaties van letters en cijfers) merk je dat wel. Je moet dus wel zeker zorgen dat 'root' niet in kan loggen: dan hoeft alleen 't bijbehorende wachtwoord geraden te worden en dan is de haxx0rer dus al meteen een stap verder.

[Gonadan]

Misschien kan je in dit topic een firmware vinden die aan je eisen voldoet:
[Ervaringen] Linksys WRT54G(S) Firmwares

Tomato wordt bijvoorbeeld veel gebruikt en misschien heeft hij die optie wel.

[eamelink]

20 keer per minuut, is 1200 keer per uur, is 28.800 keer per dag. Als jij een random wachtwoord van 4 karakters gebruikt uit de lijst [a-z, A-Z, 0-9], dan is hij al gemiddeld 257 dagen bezig om dat wachtwoord goed te gokken, áls hij al een werkende username gevonden heeft

Voor elk karakter dat je er aan vast plakt wordt de gemiddelde tijdsduur voor het vinden 62 keer zo lang, dus als je een random wachtwoord hebt van slechts acht lousy karakters, dan is onze vrolijke japanner 3790630000 dagen bezig.

Nou mag je zelf verzinnen hoeveel het wordt als je nog wat exotische !#$%& tekens erin hebt zitten, je meer dan acht karakters hebt en je gebruikersnaam niet in één keer goed gegokt wordt .

Slaap zacht

[Pietertje]

Je kunt ook met een whois server achterhalen wie het ip nummer beheert. Dergelijke organisaties hebben vaak een abuse email of een ander contact adres dat je kunt aanschrijven met de melding dat een ip nummer een brute force password attack uitvoert.

[Mr_gadget]

Je kan toch niet eerst de username vinden? Te minste ik weet dat debian elke willekeurige username toelaat en pas gaat zeuren nadat je een wachtwoord hebt ingegeven, dus je moet de combinatie username +wachtwoord in een keer raden..

Sowieso verbreekt SSH na een paar foute pogingen de verbinding dus dat kost nog meer tijd.

Wat me trouwens meevalt is dat men niet probeert routers te hacken. Die draaien immers ook vaak linux. En als je er een gemodde firmware opzet zoals word gesuggereerd kan je bijvoorbeeld al het verkeer aftappen..

[The - DDD]

Verder even het IP adres proberen te reversen naar een DNS naam. Vaak kun je daar een provider of iets vanaf leiden. Mailtje sturen naar [e-mail]. Wie weet val je net onder het oog van een goeie sys admin.

verder zou je kunnen kijken naar een inlog delay gebaseerd op het aantal mislukte inlog pogingen.

1 keer mis: geen probleem
2 keer mis: geen probleem
3 keer mis: 5 seconden extra wachten voor dat ip
4 keer mis: 10 seconden extra wachten voor dat ip
5 keer mis: 30 seconden extra wachten voor dat ip
6 keer mis: 10 minuten ip blacklisten

Dat haalt sowieso al het aantal pogingen per uur ver naar beneden.

[ Voor 49% gewijzigd door The - DDD op 31-03-2007 16:24 ]

[CyBeR]

The - DDD schreef op zaterdag 31 maart 2007 @ 16:21:
Verder even het IP adres proberen te reversen naar een DNS naam. Vaak kun je daar een provider of iets vanaf leiden. Mailtje sturen naar [e-mail]. Wie weet val je net onder het oog van een goeie sys admin.

Helaas doet dat in de praktijk meestal vrij weinig. Ik ben er ook mee opgehouden, 't kost me te veel tijd. Alleen als je een adres tegen komt bij een respectabele ISP of universiteit wil 't wel wat helpen. Bij UTwente heb ik een keer een of andere dude van 't netwerk af late schoppen bijvoorbeeld, maar bij $random_isp.ru hoef je dat niet eens te proberen.

[job]

Met de standaard firmware op de GL kan je geen specifieke inkomende ip's weren.
Maar dat lijkt me ook niet nodig, dit kan je op je nas vast wel instellen. Desnoods installeer je daar nog een firewall bij.

[XanderDrake]

Gonadan schreef op zaterdag 31 maart 2007 @ 15:56:
Misschien kan je in dit topic een firmware vinden die aan je eisen voldoet:
[Ervaringen] Linksys WRT54G(S) Firmwares

Tomato wordt bijvoorbeeld veel gebruikt en misschien heeft hij die optie wel.

Ja daar ga ik zo eens rond snuffelen. Zat al eerder te denken aan een andere firmware.

eamelink schreef op zaterdag 31 maart 2007 @ 16:04:
Slaap zacht

Dank je
Tijd voor wat exotische wachtwoorden.

Pietertje schreef op zaterdag 31 maart 2007 @ 16:15:
Je kunt ook met een whois server achterhalen wie het ip nummer beheert. Dergelijke organisaties hebben vaak een abuse email of een ander contact adres dat je kunt aanschrijven met de melding dat een ip nummer een brute force password attack uitvoert.

Dank je voor de tip, ik zal het eens proberen. Ik heb al kunnen achterhalen dat ie uit japan komt en waar vanuit japan plus welke provider ie heeft. Dus een mailje is snel gestuurt.

The - DDD schreef op zaterdag 31 maart 2007 @ 16:21:
verder zou je kunnen kijken naar een inlog delay gebaseerd op het aantal mislukte inlog pogingen.

1 keer mis: geen probleem
2 keer mis: geen probleem
3 keer mis: 5 seconden extra wachten voor dat ip
4 keer mis: 10 seconden extra wachten voor dat ip
5 keer mis: 30 seconden extra wachten voor dat ip
6 keer mis: 10 minuten ip blacklisten

Dat lijkt me een goede oplossing! Dat doet SSH volgens mij ook.
Maar hoe flik ik dat met mijn systeem en router?

[Verwijderd]

een route naar de bittenbak doet ook wonderen, kan die blijven gokken wat die wil, krijgt toch lekker geen antwoord.

[JackBol]

XanderDrake schreef op zaterdag 31 maart 2007 @ 16:34:

Dat lijkt me een goede oplossing! Dat doet SSH volgens mij ook.
Maar hoe flik ik dat met mijn systeem en router?

Die techniek heet tarpitten en je kan dat doen met iptables.

http://lists.netfilter.or...ter/2005-June/060914.html

[ChaserBoZ_]

Verwijderd schreef op zaterdag 31 maart 2007 @ 22:57:
een route naar de bittenbak doet ook wonderen, kan die blijven gokken wat die wil, krijgt toch lekker geen antwoord.

Inderdaad, ook al kan je router dit niet, wellicht kun je in de route tabel van je servertje dit IP 'blackholen'. Andere optie is een firewall op die server installeren (iptables met een simpel scriptje a la shorewall bv).

[XanderDrake]

Ik heb even gezocht, en zo te zien kan ik IP tables uitvoeren op mn Freenas server, maar ook op mn WRT54GL router. Dat laatste spreekt mij aan. Maar is dit slim? Gezien de gelimiteerde rekenkracht, zal ik mn router niet overloaden?

uitgebreide tutorial: http://www.sns.ias.edu/~j...l-broadband-router-howto/

[n1els]

denk het niet, want er wordt alleen gechecked of het ip adres goed of slecht is. goed =ok, slecht = >> dev\null dus het lijkt mij met de rekenkracht wel meevallen?

[Verwijderd]

Het weg gooien van een pakketje is de meest simpele bewerking, inspectfull state , nat en routeren kost veel meer als simpelweg weg gooien.

[The_Greater]

CyBeR schreef op zaterdag 31 maart 2007 @ 15:54:
Aanzetten is sowieso een goed idee maar zal hier idd niet tegen helpen.

Ik krijg elke dag enkele duizenden inlogpogingen te verwerken op m'n SSH en FTP servers, en dat zijn allemaal programma's die gewoon een zooi voorbedachte (en theoretisch vaak gebruikte) inlognamen en wachtwoorden proberen.

Dat heb ik hier ook. Mijn FTP en dergelijk wordt ook getorpedeerd.
Ik heb nu standaard mijn accounts een admin(istrator) en anonymouse accounts blanko passwd.
Beide accounts hebben geen rechten en kunnen niks schrijven, aanpassen en etc.
Dat stopt snel het botten

[Wokkels]

The_Greater schreef op zondag 01 april 2007 @ 20:04:
[...]

Dat heb ik hier ook. Mijn FTP en dergelijk wordt ook getorpedeerd.
Ik heb nu standaard mijn accounts een admin(istrator) en anonymouse accounts blanko passwd.
Beide accounts hebben geen rechten en kunnen niks schrijven, aanpassen en etc.
Dat stopt snel het botten

Tot er een security hole gevonden wordt in je FTP-pakketje en je opeens een probleem hebt met blanco passwds