Serverattacken reduzieren via fail2ban?

InforMedic · 22. August 2007 11:40

Hallo gemeinde,

seit einigen Tagen erhalte ich z.B. von http://87.106.72.200/ massive attacken!

Ich habe bereits dem Webmaster eine Infomail geschrieben.

Ich habe auch von einem Kollegen den Tipp bekommen, dass er seinen Server abgesichert hat mittels "fail2ban"!

Dieses wollte ich gestern bei mir auch tun, allerdings scheiterte ich schon daran ein suse rpm zu bekommen (ftp link tot). Die Source zu installieren klappte bei mir leider nicht weil ich irgendwie dieses ./setup.py install nicht ausführen kann?!

Wisst Ihr woran das liegen kann? Sry, bin linux noob!

Und generell, wie sind denn eure Erfahrungen mit sowas, und auch mit fail2ban bzw. alternativen. Was macht Ihr sonst noch um euch bzw. den geliebten Server zu schützen?

Gruß
Info

shino · 22. August 2007 12:40

Hallo,

.py ist eine typische Endung für Python-Scripte, du solltes es mit:
python setup.py
ausführen können.

Da ich fail2ban nicht kenne kann ich nicht viel dazu sagen, aber du könntes mit iptables z.B. Anfragen dieser Adresse sperren sowie TCP-SYNCOOKIES verwenden.

In welcher Form werden denn die Attacken ausgeführt?

Gruß

InforMedic · 22. August 2007 14:27

Hier ein kleiner Auszug aus meinen error_logs:

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/myadmin

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.2.3

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.5.6

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.5.7-pl1

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.6.0

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.6.0-pl3

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.6.1-pl3

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.6.3-pl1

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.6.4

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin

[Tue Aug 21 11:40:52 2007] [error] [client 87.106.72.200] File does not exist: /srv/www/vhosts/default/htdocs/phpMyAdmin-2.2.7-pl1

Gruß
Info

shino · 23. August 2007 08:26

Hi,

eigl sollte ein Sperren der IP-Adresse reichen:
/sbin/iptables -A INPUT -s 87.106.72.200 -j DROP

doch es ist gut möglich das sich nach 24H die IP des Angreifers ändert oder er sich hinter einen Proxy verbirgt.

Gruß

garbast · 23. August 2007 16:45

Nach einem kurzen Tracert auf die IP bekam ich zu sehen, dass die IP zu einem Segment von onlinehome-server.info gehört. Dahinter verbirgt sich 1and1.org. Darüberhinaus ist die IP zur zeit nicht mehr zu erreichen. Es lohnt also den Aufwand nicht wirklich.

Wenn Du ganz viel Pech hast, weiss der Attacker gar nicht mal das er Deinen Server gehammert hat.

Bleibt fast nur noch die Achseln zucken und weiter arbeiten.

In diesem Sinne
Sebastian

staeubel · 23. August 2007 17:02

Hallo InforMedic

Würde generell ausschalten, dass man dich überhaupt anpingen kann,
dann reduzieren sich auch die Angreifer.

Weiss zwar nicht wie gut das ist, aber wenn mir das passiert wäre
hätte ich die IP so gesperrt:

route add IP_ADRESSE lo

Wobei natürlich immer zu beachten ist,
dass es meistens unschuldige Server
sind, die fergesteuert werden.

Viele Grüsse

Stäubel

InforMedic · 23. August 2007 18:06

Hi ihr,

danke erst mal für die Antworten. Hatte mir schon gedacht, dass der Server wahrscheinlich nicht vom Eigentümer 'missbraucht' wird. Die Email an die Adresse des Webmasters ergab bei mir heute auch einen mailer-deamon.

Muss nachher mal schauen was heute im log steht...

@staeubel: Kannst du mir einen Tipp geben wo vertrauenswürdige infos bezüglich der ping sperre zu finden sind, oder könntest du mir das genauer Erläutern wie das funktionier. Bin einer von diesen DAUs die einen root-srv haben und nicht allzu viel ahnung von linux (vor allem security) haben :o 😢

Gruß
Info

InforMedic · 23. August 2007 23:13

Also im log ist seit vorgestern auch nichts mehr enthalten - scheint sich erübrigt zu haben o.O

Werde auf jeden Fall jetzt versuchen mittels fail2ban meine mühle dicht zu kriegen! Notfalls entsprechend nervige manuelle iptable bans!

Danke euch auf jeden Fall für die Infos =)

staeubel · 24. August 2007 11:50

Hallo InforMedic

InforMedic schrieb
@staeubel: Kannst du mir einen Tipp geben wo vertrauenswürdige infos bezüglich der ping sperre zu finden sind, oder könntest du mir das genauer Erläutern wie das funktionier. Bin einer von diesen DAUs die einen root-srv haben und nicht allzu viel ahnung von linux (vor allem security) haben :o 😢

Bin leider auch alles andere als ein Experte :o

Bei mir sind Pings bereits auf der Firewall blockiert.
Ist den dein Server direkt voll am Internet?

Aber glaube es funktioniert so um Pings
auf Linux zu deaktivieren:

Dies blockiert Ping eingehend:
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Und dies lässt eingehende Pings zu,
aber sendet einfach keine Antwort:
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j DROP

Habe jedoch mal irgendwo gelesen, dass ein vollständiges blockieren,
in manchem Fällen zum Teil Probleme geben kann mit manchen Webseiten.
Kannst du ja mal so im Hinterkopf behalten.

Viele Grüsse

Stäubel

InforMedic · 24. August 2007 13:13

Ich denke das wird dann unbrauchbar, sobald andere systeme mit diesem Server kommunizieren wollen. Ich habe solch ein Projekt amm laufen, was es damit unbrauchbar macht.

Ich denke auch generell pings zu blockieren macht nicht unbedingt sinn -> massive ping attacken oder sonstige attacken von bestimmten ip addressen zu blockieren wie es "fail2ban" angeblich tun soll schon 😉

Wenn ich nur Zeit hätte mich um dieses Thema zu kümmer #angry# Ich krieg immer noch nicht IMAGE MAGIC oder GM zum laufen -> siehe dazu anderers Thema in dieser Kategorie -> vielleicht kannst du mir ja zuf. da auch noch weiter helfen!

Ansonsten danke auf jeden Fall für die Infos!

:p