exchange server 2010 hack poging?

[Fonta]

Zonet de logs van mijn exchange server nagekeken en kwam erachter dat er vanmorgen tussen 10:49 en 11:30 ontzettend veel failed logins zijn er geweest met allemaal logon accounts die niet bestaan.
Om 11:36 zie je vervolgens dat er met 1 gebruikersnaam die inderdaad bestaat meerdere malen is geprobeerd in te loggen.
Dit account is na 5 maal proberen locked out geraakt en de gebruikster pingde mij dan ook dat de mail op haar telefoon vreemde fratsen vertoonde.

Bij al die login pogingen zie ik geen ip adres staan en kan dus moeilijk achterhalen wie dit geweest is.
Wel zie ik bij de poginen die vervolgens een Account Lockout event hebben gegenereerd een ip-adres staan.

Mijn vraag aan jullie is nu: wat kan ik doen om er voor te zorgen dat een bepaald ip-adres geblokkeerd wordt wanneer er zoveel failed login attempts vandaan komen.
De pogingen lijken overigens allemaal op de pop3 connector geprobeerd te zijn.

[ Voor 6% gewijzigd door Fonta op 19-02-2011 13:55 ]

[Verwijderd]

wat staat er in je pop3 log om die tijd?

Wat ik op internet vond was dat een ASA met AIP-SSM dit zou kunnen.
http://www.experts-exchan...e/Routers/Q_23648611.html

[ Voor 66% gewijzigd door Verwijderd op 19-02-2011 19:07 ]

[Fonta]

In de pop3 logging heb ik niet gekeken.

Een ASA vind ik toch wel ver gaan. Het gaat om een server die ik hier thuis heb draaien voor mezelf (voornamelijk) en een aantal vrienden.
Is er geen "makkelijke" oplossing? Al moet ik zeggen dat zolang zij het juiste wachtwoord niet raden, zij niet gauw in het systeem zullen komen. toch?

Er is ook maar 1 administrator account op het domein en dat is de default en die heb ik hernoemd.
Kan ik niet er voor zorgen dat dit account geen toegang vanaf buiten heeft?
Als ze dan achter het wachtwoord van een user komen, kunnen ze nog niet veel uithalen. Lijkt mij tenminste?
Of zie ik dit verkeerd?

[Rolfie]

Fonta schreef op zaterdag 26 februari 2011 @ 00:16:
In de pop3 logging heb ik niet gekeken.

Dan zou ik daar toch eens inkijken. Je request wordt door de pop3 server uitgevoerd. Daar moet je dus logging in hebben staan om te traceren welke IP's gebruikt zijn.

Waarschijnlijk zal dit de gebruikelijke ruis zijn van Internet.

[pennywiser]

Rolfie schreef op zondag 27 februari 2011 @ 19:09:
[...]

Dan zou ik daar toch eens inkijken. Je request wordt door de pop3 server uitgevoerd. Daar moet je dus logging in hebben staan om te traceren welke IP's gebruikt zijn.

Waarschijnlijk zal dit de gebruikelijke ruis zijn van Internet.

Het is idd vrij gebruikelijk deze brute forces op de gangbare poorten (ssh, htt, en dus ook smtp en pop3).

Onder Linux los ik dit op met fail2ban. Oftewel, na aantal foutieve attempts, firewall entry, welke een week blijft staan.

[alt-92]

Fonta schreef op zaterdag 26 februari 2011 @ 00:16:

Er is ook maar 1 administrator account op het domein en dat is de default en die heb ik hernoemd.

Je weet dat renamen geen nut heeft? Ik zoek namelijk gewoon de sID die op -500 eindigt en dan maakt het mij echt niet uit dat jij daar Gastaccount als naam aan geeft hoor

[Verwijderd]

alt-92 schreef op zondag 27 februari 2011 @ 22:20:
[...]

Je weet dat renamen geen nut heeft? Ik zoek namelijk gewoon de sID die op -500 eindigt en dan maakt het mij echt niet uit dat jij daar Gastaccount als naam aan geeft hoor

kan dat vanaf een iis / pop3 login?

[itlee]

tip:
ga naar je ex. management console,
receipent config
mailbox
open de administrator mailbox (dubbelklik)
klik mailbox features
alles op disabled zetten.

kunnen ze lekker proberen, inloggen lukt toch niet.
mocht je onder het admin account email laten afleveren door weet ik veel wat voor systemen
kan je voordat je dit doet een paar inbox regels aanmaken naar een mailbox die je wel gebruikt.
(via owa doen, heb je op zeker server-side rules)