FTPserver voortdurend gescand

[Zewatanejo]

Ik heb al een tijd een ftp server draaien. Met name voor mezlef om via net2ftp overal en altijd bij mijn eigen bestanden te kunnen. Ook mijn broer en mijn vader maken er wel eens gebruik van. Anonymous user heb ik uiteraard uit staan.

Met name de laatste tijd wordt er veel gescand op mijn ftp server. De hele dag door worden er inlog pogingen gedaan op mijn ftp server. De enige manier waarop dit beveiligd is is via een gebruikersnaam en wachtwoord. Ik zou er een hekel aan hebben dat iemand anders zomaar bij mijn bestanden zou kunnen. Hoe groot is de kans dat zo'n scanner binnen kan komen?

Wat ik op dit moment doe, is gewoon het ip bannen, maar het blijft terugkomen.

[MegaTronics]

Hier ook hetzelfde, alleen heb ik het aangepakt door alleen de vertrouwde IP adressen toe te laten en andere niet.

[Mr_Dark]

Als je een goed wachtwoord (met speciale tekens) voor die user(s) heb dan komen ze niet zomaar binnen aangezien die "scanners" een standaard woordenlijst gebruiken.

[Gonadan]

IP bannen is toch een prima idee? Zorg dat een IP na drie mislukte pogingen 24 uur gebanned is ofzo.
Dan is de kans dat ze er in komen alweer een stuk kleiner.

[gambieter]

Ik heb dit ook, al is het maar eens per 2 of 3 dagen.

Je kunt je firewall instrueren dat bepaalde adresranges (vooral het Verre Oosten, China, Taiwan, Korea etc) worden geblokkeerd, dat voorkomt al een hoop pogingen. Of definieren welke IP-adressen wel gebruik mogen maken van de FTP-server, maar dat kan alleen als je pa/broer/jezelf vaste IP-adressen hebben.

[vDorst]

Omdat te voorkomen draai ik alles wat kan op niet standaard poorten. Zodat je de standaard scriptkidies buiten houdt. Voor veel programma en protocollen is dat geen probleem.

[Mar2zz]

Waar draait je ftpserver op? Als het op een normale computer is dan kan je een firewall installeren en daarin ip-adressen allowen, of ipadressen blocken. Dan reageert je ftpserver niet meer op inlogpogingen. Sommige ftp-servers kunnen dit van zichzelf. (filezilla bijvoorbeeld).

Als je het op een NAS ofzo draait dan moet je het of in de NAS of de router regelen. Daarvoor heb je een geavanceerde NAS of router nodig(of een NAS of router die aanpasbare firmware draait).

Wat je ook kan doen is de poort veranderen. Een ftpserver draait standaard op poort 21, en als je daar een exotische poort voor kiest, bijvoorbeeld 51423 ofzo, dan voorkom je al dat je ftpserver via een scan gevonden wordt. (ftpscanners scannen een complete range van ipadressen op poort 21. Waar een reply volgt gaan ze vervolgens inloggen. Maak je de poort exotisch dan val je buiten die scans)

[ Voor 3% gewijzigd door Mar2zz op 07-05-2008 14:51 ]

[Sosabowski]

Zolang je een niet voor de hand liggende username en een sterk paswoor dhebt is er in principe niks aan de hand.

Een manier om het nog iets lastiger te maken voor de script kiddies; zorg dat het welkomsbericht van de server geen naam en versienummer van de software noemt.

[dreamscape]

Wat voor FTP-server gebruik je?
Ik heb een FileZilla server draaien en die heeft een 'autoban'-mogelijkheid. Na X aantal foutieve inlogpogingen vanaf IP-adres Y wordt deze gedurende tijd Z geband. Volgens mij kan dat adres ook direct worden toegewezen aan de 'ban altijd' lijst.

[Zewatanejo]

Ok ..Thanks.@all.
Ik ben dus niet de enige (niet dat ik dat had verwacht of zo )

Ik draai filezilla server op een XP bak (HTPC/server)

Voorgestelde oplossingen:

ip range vaststellen; geen optie, log vaak in vanuit vooraf onbekende ip's (werk)
een niet standaard poort gebruiken; Zal ik eens snel gaan gebruiken. Goede (voor de handliggende) tip!
Niet voor de hand liggende naam en pw gebruiken; hier was ik al creatief geweest
auto-ban opties van filezilla gebruiken; Ik zal filezilla eens goed onder ze loep nemen...

[KatirZan]

dreamscape schreef op woensdag 07 mei 2008 @ 14:55:
Wat voor FTP-server gebruik je?
Ik heb een FileZilla server draaien en die heeft een 'autoban'-mogelijkheid. Na X aantal foutieve inlogpogingen vanaf IP-adres Y wordt deze gedurende tijd Z geband. Volgens mij kan dat adres ook direct worden toegewezen aan de 'ban altijd' lijst.

O.A. Bulletproof werkt daar ook mee, die is echter niet gratis

Met Bulletproof FTP server kan je dan ook weer permanent blokkeren e.d.

[_Apache_]

Denk ook is aan het niet reageren op hammering (herhaaldelijk mislukte pogingen).

Bulletproof FTP reageert dan niet meer, ook niet met een failure, remote side krijgt gewoone en time out op de verbinding terwijl de FTP prima reageert naar anderen

[battler]

Zodra je een niiet standaard port gebruikt, zullen je problemen niet meer voorkomen.

[Kokkers]

battler schreef op woensdag 07 mei 2008 @ 15:15:
Zodra je een niiet standaard port gebruikt, zullen je problemen niet meer voorkomen.

Om andere voor te zijn en hem even in te koppen
Ik zeg, security by design i.p.v. security by obscurity

Wikipedia: Security through obscurity

Met zaken als user restriction (geen root login), strong passwords, ip-restriction, chroot en up-to-date software kom je een heel eind.

Nadenken over risico's en impact is mijnsinziens zinniger dan je ftp poort klakkeloos naar 25000 slingeren en jezelf veilig voelen.

Als je je zaken op orde hebt hoef je je niet eens druk te maken om portscans of login pogingen.

[ Voor 29% gewijzigd door Kokkers op 07-05-2008 16:04 ]

[sh4d0wman]

Met Kokkers, indien er een security mailing list voor je applicatie zou ik je daar even op abboneren. Mocht er onverhoopt een nieuw exploit opduiken welke actief gebruikt wordt dan kun je snel je server even offline gooien zolang er nog geen patch is.

[HammerT]

Je moet wel een beetje reeel blijven natuurlijk. Gebruik maken van een redelijk wachtwoord en het liefst geen standaard gebruikersnaam (administrator, admin, root) ben je al van heel wat problemen af.

Daarnaast zou je op een andere poort kunnen draaien (lastig imho) en PeerGuardian draaien oid.

[CyBeR]

battler schreef op woensdag 07 mei 2008 @ 15:15:
Zodra je een niiet standaard port gebruikt, zullen je problemen niet meer voorkomen.

Dat werkt niet.

--

Die FTP-scanprogramma's gebruiken zonder uitzondering lijsten van gebruikersnamen en wachtwoorden waarvan geacht wordt dat ze veel voorkomen. Zorg dus dat je sterke wachtwoorden gebruikt (iets als 'gahLoht6ig9u' staat niet in hun lijsten) en geen standaardgebruikersnamen zoals 'admin'. Verder is een automatische ban na X foute inlogpogingen ook geen slecht idee.

Op een andere poort draaien zal je best wat scans besparen maar is in the end geen beveiliging.

[ Voor 7% gewijzigd door CyBeR op 08-05-2008 02:28 ]