Brute force Chinese server

[bindsa]

Op mijn VPS heb ik DirectAdmin draaien en de brute force monitor aanstaan.
Vandaag kreeg ik een mailtje dat in een paar minuten 191 loginpogingen via SSH waren gedaan.

Ik heb toen het IP maar op de blacklist gezet. Nu vroeg ik me af: wat moet ik hier nu van denken? Was het een hackpoging of iets anders?

De WHOIS data:

code:

% [whois.apnic.net node-2]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 202.165.176.0 - 202.165.191.255
netname: CCCNet
country: CN
descr: China Communication Co., Ltd
descr: Tower F.12# Yumin Road, Chaoyang District, descr: P.R.China
admin-c: CJ644-AP
tech-c: WN91-AP
status: ALLOCATED PORTABLE
mnt-by: MAINT-CNNIC-AP
mnt-lower: MAINT-CNNIC-AP
changed: 20060822
source: APNIC

person: Chen Jun
nic-hdl: CJ644-AP
e-mail:
address: Tower F.12#, Yumin Road,chaoyang District, P.R.China
phone: [phone]-3342
fax-no: [phone]
country: CN
changed: 20060822
mnt-by: MAINT-CNNIC-AP
source: APNIC

person: Wang Nan
nic-hdl: WN91-AP
e-mail:
address: Tower F.12#, Yumin Road,chaoyang District, P.R.China
phone: [phone]-3342
fax-no: [phone]
country: CN
changed: 20060822
mnt-by: MAINT-CNNIC-AP
source: APNIC

[DennusB]

Dat was het waarschijnlijk. En nu? Wat wil je er verder mee doen? Je hebt het IP al geblokkeerd

[TrailBlazer]

lekker boeiend ik kijk niet eens meer naar de hoeveelheid SSH login pogingen in mijn log. Geen root login toestaan met SSH en geen accounts test/test aanmaken. Eventueel iets als fail2ban installeren en klaar.

[begintmeta]

Ik maak me ook niet druk over de ssh-connecties, zeker niet sinds ik eigenlijk alleen nog maar host/key-authentication gebruik.

[brambo123]

Je kunt ook brute force blokkeren met iptables
http://kevin.vanzonneveld...ce_attacks_with_iptables/

Komt neer op 2 regels toevoegen:

code:

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 8 --rttl --name SSH -j DROP

Als ze meer als 8x in een minuut proberen er in te komen worden ze geblokkeerd.
Let wel op, je kan jezelf ook blokkeren

[Uberprutser]

Heb een tijdje COLO gedraaid en had o.a. alle Chinese IP reeksen in de firewall staan die alles blocken; weinig kans dat daar iemand vandaan zou komen die wat te zoeken had op die websites.

Ik heb zelf nu fail2ban draaien op een VPS om dit soort grappen af te vangen en dat gaat ook prima.

[FatalError]

Even een schopje van PNS naar NT