Failed Login Attempts FTP

[spank_mojoo]

Goedenavond allemaal,

Ik heb een TP-Link wdr4300 met DD-WRT draaien met daar achter een Zyxel NSA320.
In de TP-Link staan poort 80, 53 en 21 open.
Poort 21 is geforward naar de NAS om deze extern via FTP bereikbaar te maken.

Vanavond vond ik een aantal vreemde vermeldingen in de logs van de NAS:

code:

25 2016-01-25 16:27:38 built-in-service info User system(95.56.20.185) login FTP failed 
26 2016-01-25 16:27:38 user alert Failed unknown login attempt (incorrect password or inexistent username) 
...
29 2016-01-25 10:37:27 built-in-service info User logout FTP 
30 2016-01-25 10:37:22 built-in-service info User admin(49.150.29.89) login FTP failed 
31 2016-01-25 10:37:22 user alert Failed unknown login attempt (incorrect password or inexistent username) 
...
37 2016-01-24 11:19:42 built-in-service info User aloha(27.251.65.195) login FTP failed 
38 2016-01-24 11:19:42 user alert Failed unknown login attempt (incorrect password or inexistent username)

Helaas houdt de NAS geen lang log bij. Door de vele pogingen van bovengenoemde adressen kan ik slechts tot gisterochtend terugkijken.
Na aanleiding hiervan denk ik dat iemand na een portscan via FTP probeert in te loggen op mijn NAS.
Ik heb Nmap losgelaten op de gevonden IP adressen en die heeft onderstaande topology opgeleverd:

Zoals te zien komen alledrie de IP adressen via 1 gemene deler binnen, dit laat mij geloven dat ik met een botnet te maken heb. De adressen komen uit resp. Rusland, Kazachstan, India en Zwitserland

Wat heb ik gedaan?
Preventief poort 53 dicht gezet, telnet gebruik ik toch niet.
logging verplaatst naar een lokale syslog server, zodat de lengte hiervan niet meer zo beperkt is.

Ik weet niet zo goed wat ik hier nu mee aan moet.
wat me vooral zorgen baart is de regel

code:

29 2016-01-25 10:37:27 built-in-service info User logout FTP

Er valt immers niets uit te loggen als je niet eens in bent gelogd?

Ik heb wel vertrouwen in de sterkte van mijn wachtwoorden, maarja alles is te kraken met genoeg tijd.
Ik kan een ander IP adres aanvragen bij mijn provider, maar dit is niet wenselijk en ook geen permanente oplossing.
Ik kan alleen specifieke IP adressen externe toegang geven en overige aanvragen blokkeren, maar ik moet zelf ook regelmatig remote inloggen van verschillende IP adressen (kan dit evt ook op MAC?)
Ik kan poort 21 helemaal dicht gooien, maar dan kan ik er zelf ook niet meer bij.

Veel verder dan dit gaat mijn kennis helaas niet, is er hier iemand die nog suggesties heeft?

[TommieW]

Als je dergelijke services op de standaard poorten hebt draaien, dan krijg je al snel te maken met dergelijke dingen. Afhankelijk van waar je FTP server op draait kan je iets installeren als Fail2Ban waarbij een IP na een aantal foute inlogpogingen wordt geblokkeerd.

Een betere oplossing is het verplaatsen van je FTP server naar een andere poort. Als je je FTP server draait op een poort boven de 1024, zal het wel meevallen hoeveel je van dit soort inlogpogingen krijgt.

[RobIII]

TommieW schreef op maandag 25 januari 2016 @ 22:32:
Een betere oplossing is het verplaatsen van je FTP server naar een andere poort. Als je je FTP server draait op een poort boven de 1024, zal het wel meevallen hoeveel je van dit soort inlogpogingen krijgt.

Dat is een optie (maar security through obscurity). Beter is whitelisten van IP's, maar dat kan niet altijd in alle gevallen. Wat je ook kunt doen is TFA gebruiken en minimaal fail2ban installeren.

[ Voor 10% gewijzigd door RobIII op 25-01-2016 22:35 ]

[spank_mojoo]

Dat is een poging waard, maar is dit met een simpele poortscan niet binnen 10 seconden ondermijnd?

[CyBeR]

Naar aanleiding hiervan denk ik dat iemand na een portscan via FTP probeert in te loggen op mijn NAS.

Correct. Als je iets op het internet aanbiedt krijg je daarmee te maken.

[KennieNL]

Die topology zegt je niets, die gemene deler is gewoon een router van je provider. Een botnet kun je zo niet herkennen.
Het is niet ongewoon dat je login attempts ziet als je FTP, SSH of andere services voor het internet open zet.

Of verander de poort van FTP van 21 naar een andere poort (niet de beste oplossing, maar goed, het scheelt vaak veel login attempts).
Of kijk of er support is voor automatisch blokkeren van IP's (Fail2ban e.d.)
Of ga meteen kijken naar een VPN oplossing waardoor je verkeer ook nog eens netjes encrypted is.

[spank_mojoo]

Fijn om te horen dat het niet ongewoon is, maar ik schrik er toch wel even van.
zoals net hierboven gezet, is het toch correct dat een wijziging van de poort slechts een aantal seconden vertraging oplevert?
Fail2ban ziet er wel veelbelovend uit, ik zal eens kijken of ik dat via FFP op de NAS kan draaien of evt op de router.

[CH4OS]

Fail2Ban is zeker leuk, maar op een NAS, die vaak toch al beperkter is in resources, lijkt me dat niet zo'n héél goed idee. Fail2Ban schijnt nogal resourceful te zijn, zover ik om me heen begrepen heb altijd. Op een router is Fail2Ban dus eigenlijk een no-go en op de NAS (afhankelijk van wat je er verder in hebt zitten natuurlijk) loop je dan het risico je router tegen te gaan houden en je dus zelf ook nooit kan inloggen op de FTP van buiten af.

Overigens zullen ze, gezien je achter een NAT zit, misschien wel kunnen verbinden, maar daarna houdt het op. Achter een NAT heb je namelijk ook PASV nodig om de FTP goed te kunnen laten werken.

Is FTP voor jou niet zo noodzakelijk dan zou ik overwegen om FTP te verwijderen van de NAS.

KennieNL schreef op maandag 25 januari 2016 @ 22:34:
Of ga meteen kijken naar een VPN oplossing waardoor je verkeer ook nog eens netjes encrypted is.

Dat is maar net hoe je het wilt en wat je 'netjes' vindt. FTPS is dan misschien nog wel een 'nettere' oplossing. Met een SSL-certificaat van Let's Encrypt kost het bovendien ook nog eens niets en is het verkeer ook versleuteld.

[ Voor 82% gewijzigd door CH4OS op 25-01-2016 23:05 ]

[Fish]

Alles wat toegankelijk is van buiten wordt aan gerammeld, of het nou een echte deur is of een poort op internet. Zo zit de wereld in elkaar.


Dus hier ook ftpes, echt certifikaatje. En natuurlijk ip whitelisten, met dail-up modems wijzigde de ip's nog wel eens. met de huidige dsl lijnen niet meer zo vaak

[spank_mojoo]

Ftps en varianten zijn helaas geen optie, daar is de nas te gedateerd en beperkt voor. Ik loop al een poosje met het idee om de Router en nas te vervangen voor een microserver, als ik bovenstaande zo lees wordt dit steeds meer een optie.
Ik heb de ftp poort gewijzigd naar een minder gebruikelijke en zal het log in de gaten houden. Ik ben bang dat het niet zo lang duurt voordat het feest weer verder gaat, mijn ip zit inmiddels in de molen. Deze zal ik na de eerstvolgende afwijkende log entry ook refreshen