/u/30402/icon2.png?f=community)
Disclaimer: P. aanvaardt geen aansprakelijkheid op grond van dit bericht.
:strip_icc():strip_exif()/u/43400/avatar.jpeg?f=community){kind=avatar}
Heb je überhaupt je relaying al eens nagekeken? Komt het zéker van 'binnenuit' 
My best guess is dat je gewoon lekker open relay aan 't spelen bent.
My best guess is dat je gewoon lekker open relay aan 't spelen bent.
[ Voor 68% gewijzigd door RobIII op 21-07-2008 18:10 ]
There are only two hard problems in distributed systems: 2. Exactly-once delivery 1. Guaranteed order of messages 2. Exactly-once delivery.
Je eigen tweaker.me redirect
Over mij
Zet gewoon je relaying alleen open voor interne IP's en je bent al een heel eind 
Over dat laatste vinkje (rechtsonder): Mja, ik zet 't altijd aan maar wij gebruiken dan ook veilige (lees: fatsoenlijke, lastig te brute-forcen) wachtwoorden.
Over dat laatste vinkje (rechtsonder): Mja, ik zet 't altijd aan maar wij gebruiken dan ook veilige (lees: fatsoenlijke, lastig te brute-forcen) wachtwoorden.
[ Voor 73% gewijzigd door RobIII op 21-07-2008 19:09 ]
There are only two hard problems in distributed systems: 2. Exactly-once delivery 1. Guaranteed order of messages 2. Exactly-once delivery.
Je eigen tweaker.me redirect
Over mij
:strip_icc():strip_exif()/u/4167/bacall8.jpg?f=community)
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
Handig! Ik was huiverig om het vinkje weg te halen omdat ik het netwerk niet ken. Misschien versturen clients nog iets via deze mailserver vanuit huis. Maar dan moeten ze voortaan maar hun ISP gebruiken of via een VPN inloggen.:
Zet gewoon je relaying alleen open voor interne IP's en je bent al een heel eind
[afbeelding]
Over dat laatste vinkje (rechtsonder): Mja, ik zet 't altijd aan maar wij gebruiken dan ook veilige (lees: fatsoenlijke, lastig te brute-forcen) wachtwoorden.
Overigens heb ik nog nooit meegemaakt dat een Exchange server zomaar open relay was. Je denkt dus dat een wachtwoord gekraakt is? Het gekke is dat ik in de logboeken pas vanmorgen vanaf 10 uur of zo NDR's zag verschijnen, eerder niet. Het lijkt dus een recent lek. En toch staan alle updates erop.
Dit snap ik niet helemaal. Hoe kan een spammer dan authenticeren? Bedoel je via een gestolen PC? En wat bedoel je met blokkade?
[ Voor 12% gewijzigd door pinockio op 22-07-2008 08:57 ]
Disclaimer: P. aanvaardt geen aansprakelijkheid op grond van dit bericht.
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
Niet, tenzij passwords gebruteforced zijn. Maar gezien je dit hele scherm kennelijk nog nooit had gezien was je (of ben je) gewoon een open relay aan 't spelen en dan is het enkel een kwestie van tijd; er komen dagelijks allerlei poortscans van allerlei "bots" voorbij die zoeken naar open relays. Ik vermoed dus niet eens dat er gehackt is geweest maar dat je gewoon open relay was. En open relays doen niets met authenticatie en vreten doodleuk alle mail om 't vervolgens naar wens te gaan bezorgen. Sounds familiar?
[ Voor 54% gewijzigd door RobIII op 23-07-2008 14:54 ]
There are only two hard problems in distributed systems: 2. Exactly-once delivery 1. Guaranteed order of messages 2. Exactly-once delivery.
Je eigen tweaker.me redirect
Over mij
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
Die POP connector heeft anders de nodige nukken, waaronder dat 'ie doodleuk berichten gaat doorsturen die niet afgeleverd kunnen worden (of iets dergelijks).* Pas nog het hele dorp mee platgelegd omdat een of ander reclamebureautje een mailing had verstuurd van 10Mb naar het hele dorp. Iedereen die de POP connector gebruikte stond die berichten naar elkaar te sturen -> in no time alle Exchange servers in de buurt plat wegens het ontbreken van een hotfix
(Overigens, thank God, niet in mijn beheer 
)Beide geen excuus. Wel een server willen draaien maar 'm zelf niet in kunnen (laten) richten of beheren is voor een duppie op de eerste rang willen zitten en dus eigen schuld dikke bult. Verder zijn er zat mogelijkheden (BSTMP) om op andere poorten dan 25 mail te ontvangen.
True, maar het is niet veiliger; als je relay open staat (en dan heeft er dus iemand lopen prutsen) boeit het niet of je je ISP's relay of de POP connector gebruikt en ben je dus net zo onveilig. Schijnveiligheid
Wat hierboven ook al gezegd wordt: het is precies andersom. Maar ga gerust door met op MS afgeven wat uiteindelijk door anderen veroorzaakt is/wordt
Ja joh! Met alle updates geïnstalleerd ben je altijd veilig! 't Ding deed gewoon wat 'ie moest doen (van 'iemand'), en dan is het wéér niet goed * Die update wordt overigens niet meegenomen in de automatische updates.
[ Voor 6% gewijzigd door RobIII op 23-07-2008 16:07 ]
There are only two hard problems in distributed systems: 2. Exactly-once delivery 1. Guaranteed order of messages 2. Exactly-once delivery.
Je eigen tweaker.me redirect
Over mij
DNS trucjes...? Je mail zal altijd ergens naar toe gestuurd moeten worden, dus dit trucje doe je altijd (één keer).
Beveiliging staat hier volledig los van, alleen zorgen dat de server zijn updates krijgt.
Alle providers die poort 25 sluiten hebben een oplossing om (bijvoorbeeld via bSMTP) alsnog mail te ontvangen.
Blijft bijzonder dat de server open staat voor relaying, maar ja...gebruikers
Eerst het probleem, dan de oplossing
:strip_icc():strip_exif()/u/8430/logo.jpg?f=community){kind=logo}
Nou wordt 'ie mooi! Jij komt hier omdat je niet zeker weet of je server nu wel of niet goed is geconfigureerd maar hebt wel een grote mond over de beveiliging van MS producten? Dat hoor ik liever van een security goeroe (waarna ik de discussie op inhoudelijke gronden zal aangaan) dan van iemand die niet 100% zeker weet hoe open relay werkt.
Als je het gevoel hebt dat je verkeerd wordt begrepen, dan kan dat komen doordat je met zo'n houding een beetje eigenwijs over komt. En dat zal vast niet je bedoeling zijn.
Dan heb je denk ik toch te weinig meegekregen van de laatste paar jaren denk ik
Secure by default is zeg maar de standaard sinds 2003, wat zich uit in een 'eerst updaten en firewall aan' procedure bij het installeren van je R2 Servers en (aan de client kant) een XP SP2 die vergeleken met vorige SP's de boel aardig dichtspijkerde.
Stokpaardjes van begin 2000 mag je inmiddels wel achterwege laten vind ik.
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
Als je dit topic (helemaal) leest, zul je tot een andere conclusie komen. (Geldt ook voor de anderen.):
[...]
Nou wordt 'ie mooi! Jij komt hier omdat je niet zeker weet of je server nu wel of niet goed is geconfigureerd maar hebt wel een grote mond over de beveiliging van MS producten? Dat hoor ik liever van een security goeroe (waarna ik de discussie op inhoudelijke gronden zal aangaan) dan van iemand die niet 100% zeker weet hoe open relay werkt.
Als je het gevoel hebt dat je verkeerd wordt begrepen, dan kan dat komen doordat je met zo'n houding een beetje eigenwijs over komt. En dat zal vast niet je bedoeling zijn.
En (helemaal offtopic): er zijn LEGIO voorbeelden waaruit blijkt dat MS producten NIET out-of-the-box veilig zijn (Sasser worm anyone?) Dat is nog een reden waarom ik - trouwens zonder enige klacht - op een aantal systemen de POP3-connector gebruik, blijkbaar tot verbazing of ergernis van sommigen. En dat is ook de reden waarom ik een Windows 2003-server niet direct aan internet hang (alleen via NAT). Niet zozeer omdat het niet veilig KAN zijn maar omdat de kans op problemen met beveiliging vrij groot is.
Deels is dit omdat ik niet de ervaring en kennis heb om een MS product volledig dicht te timmeren. Maar ook wie dat wel heeft kan altijd voor verrassingen komen te staan, juist vanwege het feit dat er zoiets bestaat als "vulnerabilities".
Recent voorbeeld:
Microsoft Security Advisory: A vulnerability in RPC in the Windows DNS Server service could allow remote code execution
Maar ik stel voor dat we deze welles-nietes discussie laten rusten.
En, absoluut ten overvloede: ik kom ergens bij een server die ik zelf niet heb ingesteld. De systeembeheerder is op vakantie, en is iemand met 20 jaar ervaring. Opeens, out of the blue, wordt er spam verstuurd. Vind je het dan vreemd dat ik een lek vermoed? Er is namelijk niet recent een aanpassing aan de configuratie gedaan (dat ik weet).
Er lijkt hier een soort air te heersen van: "als je hier wilt komen moet je alles al weten".
Let op dat dit niet PNS is.
Maar goed... iedereen bedankt weer
[ Voor 24% gewijzigd door pinockio op 23-07-2008 17:19 ]
Disclaimer: P. aanvaardt geen aansprakelijkheid op grond van dit bericht.
Wat heeft een rootkit te maken met een default dichte Exchange config?
Anyways: IP staat inmiddels op de blacklist dus?
Er zijn bovendien robuustere alternatieven voor de standaard POP3 connector in SBS, die ook wat flexibeler zijn in hun mogelijkheden.
Misschien kun je daar ook nog eens naar kijken.
Ach, ik denk dat je zelf ook wel weet hoe vaak er in het MKB iets opengezet wordt zonder boe of ba 'omdat het dan lekker makkelijk werkt' niet?
En soms is dat niet eens de beheerclub maar de eigenaar die maar wat klikt vanaf een artikeltje wat ie ergens gegoogled heeft.
Jij bent dol op vrienden maken zie ik
[ Voor 35% gewijzigd door alt-92 op 23-07-2008 18:12 ]
ik heb een 864 GB floppydrive! - certified prutser - the social skills of a thermonuclear device
Misschien moet ik alles wat ik vermeld even uitvoerig toelichten, om misverstanden en daarmee allerlei ongefundeerde en nodeloos kwetsende verdachtmakingen te voorkomen. Maar dan loop je weer de kans dat mensen het niet snappen omdat zinnen van meer dan 10 woorden te ingewikkeld zijn.:
[...]
Wat heeft een rootkit te maken met een default dichte Exchange config?
Anyways: IP staat inmiddels op de blacklist dus?
Er zijn bovendien robuustere alternatieven voor de standaard POP3 connector in SBS, die ook wat flexibeler zijn in hun mogelijkheden.
Misschien kun je daar ook nog eens naar kijken.
[...]
Ach, ik denk dat je zelf ook wel weet hoe vaak er in het MKB iets opengezet wordt zonder boe of ba 'omdat het dan lekker makkelijk werkt' niet?
En soms is dat niet eens de beheerclub maar de eigenaar die maar wat klikt vanaf een artikeltje wat ie ergens gegoogled heeft.
[...]
Jij bent dol op vrienden maken zie ik
Ik heb de indruk dat mensen dingen versimpelen en me woorden in de mond leggen. Een voorbeeld is dit:
quote:
wilhelmstroker schreef op woensdag 23 juli 2008 @ 15:19:
Een default installatie van Exchange 2003 staat dicht voor relay.
How to troubleshoot mail relay issues in Exchange Server 2003 and in Exchange 2000 Server
Ik:
Dat kon haast al niet anders..! MS staat bekend om de sloppy beveiliging maar dit is wel heel erg.
Hiermee bedoel ik dus dat MS niet zo goed beveiligt maar dat ik nochtans een dergelijke grote fout (open relay) niet verwachtte. (Dit is een nuancering, geen bewering dat MS superonveilig werkt!) Dat is blijkbaar niet voldoende, nee, ik moet meteen 100x horen hoe veilig MS wel niet te werk gaat etc.
Maar even terug naar jouw eerste vraag.
Het topic dat ik noem betreft een Exchange server met dezelfde symptomen. Ik heb daar een week geleden op gereageerd, toen wat in dit topic genoemd wordt nog niet speelde. (Dit had je ook kunnen zien als je de moeite had gedaan even in dat topic te kijken.)
Mijn reactie, waarin de aanmoediging om met een andere virusscanner alles goed te scannen kwam vanuit mijn eigen ervaring met een ander geval, onlangs, waarbij een PC waar een rootkit op stond spam verstuurde via de Exchange server. Vandaar dat ik in dit topic ook met die optie begon. Echter, nu ik beide topics vergelijk zijn de overeenkomsten treffend. Blijkbaar gaat het om een vergelijkbaar geval; spam wordt van buitenaf verstuurd.
Normaal gesproken hoef je helemaal niets in te stellen in het gedeelte waar je de smtp-server instelt. Zoals hier al eerder genoemd zou de default configuratie moeten voldoen en geen open relay zijn.
Ik vermoed dan ook dat er iets mis is met de instelling "allow succesfully authenticated computers to relay". De hacker in kwestie heeft een manier gevonden om met de gebruikersnaam "user" in te loggen en zo zich aan te melden voor het versturen van mail. Het uitzetten van die optie (en aanzetten van relaying voor de interne IP-reeks) lost het probleem in beide gevallen op - voor zover ik tot nu toe weet. Hoe men nu precies kan inloggen weet ik niet, maar ik denk dus nog steeds dat het geen fout van de systeembeheerder is, eerder een nog niet ontdekt lek óf een gekraakt of bekend geraakt password.
Het blacklisten van een IP is natuurlijk maar een tijdelijke oplossing, omdat een hacker of een botnetwerk sowieso (op den duur) via andere IP-adressen hetzelfde kunstje zal proberen uit te halen.
Dat "men" nogal eens wat open zet wil niet zeggen dat het in de hier genoemde twee gevallen ook zo is. Het betreft in mijn geval een (andere), zeer ervaren systeembeheerder. Noem twee redenen waarom iemand iets zou veranderen
Bovendien... e.e.a. STOND op de default instellingen. Er is dus niets aan veranderd. M.a.w. met default instellingen WAS er sprake van een soort van open relay (op welke manier dan ook, dat weten we nog niet). Inmiddels is het dus veiliger gezet dan default. Noodgedwonen.
En ja, als je niet tegen een ironische opmerking kunt....
Waarschijnlijk zou deze discussie irl wel wat anders verlopen, want op fora kunnen de reacties nogal eens pittig zijn... In ieder geval betaal ik zelf mensen altijd met gelijke munt terug; ere wie ere toekomt, wie kleinerend doet zal ook dit op zijn brood krijgen. Net mensen he, die tweakers?
Wat me het meest stoort is het adagium dat MS blijkbaar nooit iets fout doet, en men meteen naar... (in dit geval mij, ook nog eens onterecht, omdat ik e.e.a. niet ingesteld heb) wijst. Dat is dus onterecht. En wie daaraan meedoet - zeker als men mijn woorden verkeerd interpreteert, uit zijn verband haalt, of de helft vergeet (op een gegeven moment was het net een stel wolven rond een vastgebonden paard) krijgt ook een snauw mee, ja. Wie zich daar niet aan bezondigt maar integendeel met opbouwende tips komt, verdient mijn eeuwige dankbaarheid....
--- m.n. RobIII, maar in feite heeft iedereen die hier gereageerd heeft wel iets constructiefs gezegd.
[ Voor 22% gewijzigd door pinockio op 23-07-2008 20:24 ]
Disclaimer: P. aanvaardt geen aansprakelijkheid op grond van dit bericht.
Pagina: 1