IIS 6 aanvallen

[evolution536]

Ik draait sinds een tijdje een FTP Server via IIS6, en deze heb ik dichtgezet via windows authentication.

Ik zie de laatste tijd in mijn eventlog dat er mensen in China en Taiwan zijn die proberen op mijn server binnen te dringen. Ik heb het administrator account uitgeschakeld, en een subnet uit Taiwan op de blocklijst gezet.

Ik zie in de eventlog dat er mensen zijn die 10 minuten lang met hetzelfde account proberen om in te loggen, wat iedere keer mislukt. Er staan soms wel 100 of 200 pogingen in 5 of 10 minuten. Ze proberen in te loggen met het Administrator account (wat ik heb uitgeschakeld), of accounts als "alice" wat helemaal op mijn server niet bestaat

Tot nu toe zijn alle pogingen mislukt, maar het zijn een soort inlogaanvallen, ddos achtig.

Is er een mogelijkheid in IIS6, om na een x aantal mislukte inlogpogingen met een bepaald account het betreffende IP-adres te blokkeren? Ik heb zitten zoeken maar ik kom op niks uit

[Fish]

Sja internet ruis he,

Is het niet beter om andersom te doen. Je firewall aanzetten, en de ftp alleen benaderbaar maken voor adressen die bekend zijn?

[kKaltUu]

Wij hebben het als volgt:

VBScript die het FTP log in de gaten houd, en hoger dan 4 inlogpogingen geeft voor dat IP address een doodlopende route mee. Behoorlijk simpel iets, maar ook heel erg vies

Mocht je er echt niet uitkomen kan je altijd nog een firewall (met een whitelist ) ertussen zetten.

[Outerspace]

https://groups.google.com...sg/a300c839bc5ba61d?hl=en

gevonden via http://forums.iis.net/t/1024380.aspx
Daar heb je wel wat aan gok ik.

[Paul]

In IIS niet (voor zover ik weet), in (bijvoorbeeld) FileZilla Server wel.

We gebruikten op het werk eerst ook de FTP-server in IIS, maar door diverse beperkingen (o.a. dit dus, maar ook dat alles van Windows users afhangt waardoor die ofwel van alles mogen op je server ofwel je dat weer apart moet gaan dichttimmeren) zijn we overgestapt naar FileZilla, werkt goed.

Whitelisten in de firewall is afhankelijk van je doel vaak geen optie, ik moet er niet aan denken van tientallen klanten een paar honderd IP-adressen bij te moeten houden

Edit @ Fish: Je hebt een DM, het kan beiden zonder reboot of zo

[Voor 6% gewijzigd door Paul op 08-06-2011 12:19]

[Fish]

Filezilla werkt iets tegoed zelf, die moet je rebooten wanneer er iets per ongeluk op de blacklist is gekomen.

Maar ik gebruik ook filezilla, een beetje primitive interface maar werkt wel.
En ik heb nog niet door hoe hoe iemand gebruik kan maken van 2 partites onder 1 account.

[evolution536]

Outerspace schreef op woensdag 08 juni 2011 @ 11:55:
https://groups.google.com...sg/a300c839bc5ba61d?hl=en

gevonden via http://forums.iis.net/t/1024380.aspx
Daar heb je wel wat aan gok ik.

Ik ga het even uitproberen, het ziet er goed uit, verder nog geen oplossingen kunnen vinden. Dankjewel voor jullie reacties, als er nog meer te vinden is dan graag!

[evolution536]

Ik ben zoiezo dom geweest dat ik helemaal niet wist dat de windows firewall (die overigens toch niet zo veel tegenkracht biedt) niet aan stond. Deze aangezet en excepties toegevoegd.

Ook heb ik dit script gevonden:

http://forums.webhostauto...thread.php?t=12381&page=1

Script B, een script dat via een scheduled task de log doorzoekt, en 10 of meer pogingen bestraft met een ban en een mail stuurt met de melding erin. Het is niet de meest veilige oplossing, maar ik ga even testen of dit i.c.m. de windows firewall voor mij een voldoende oplossing biedt.

Dankjewel voor jullie hulp!

[_Apache_]

evolution536 schreef op woensdag 08 juni 2011 @ 14:16:
en een mail stuurt met de melding erin.

Dit wil je juist niet, je wilt niet de indruk wekken dat je server nog up en running is.. Dat geeft deze 'hackers' de motivatie om door te gaan.

Tenzij de mail voor je eigen administratie is, niet naar de hacker dan heb ik niets gezegd.

[Voor 13% gewijzigd door _Apache_ op 08-06-2011 14:21]

[evolution536]

_Apache_ schreef op woensdag 08 juni 2011 @ 14:19:
[...]


Dit wil je juist niet, je wilt niet de indruk wekken dat je server nog up en running is.. Dat geeft deze 'hackers' de motivatie om door te gaan.

Tenzij de mail voor je eigen administratie is, niet naar de hacker dan heb ik niets gezegd.

Het is voor eigen administratie, naar mijn eigen mailadres.

[kKaltUu]

Zet dan meteen een rulebased firewalle ertussen met een whitelist.

Als je wil zien hoe wij het hebben gedaan bel mij even.