Port Scans - Versionsgeschichte

Haha am 20. Januar 2012 um 21:01 Uhr

2012-01-20T21:01:20Z

Runout: /* Was tun? Tips & Ratschläge */

2009-07-21T20:12:30Z

‎Was tun? Tips & Ratschläge

Runout am 18. Juli 2009 um 19:03 Uhr

2009-07-18T19:03:17Z

Runout am 18. Juli 2009 um 19:02 Uhr

2009-07-18T19:02:48Z

Runout: Die Seite wurde neu angelegt: „= Port Scans = Der ganz normale Wahnsinn im Alltag eines Servers am Internet. Dies ist eine kurze Zusammenfassug anläßlich eines [[http://lists.funkfeuer.at/p...“

2009-07-18T18:30:47Z

Die Seite wurde neu angelegt: „= Port Scans = Der ganz normale Wahnsinn im Alltag eines Servers am Internet. Dies ist eine kurze Zusammenfassug anläßlich eines [[http://lists.funkfeuer.at/p...“

Neue Seite

= Port Scans =

Der ganz normale Wahnsinn im Alltag eines Servers am Internet.

Dies ist eine kurze Zusammenfassug anläßlich eines [[http://lists.funkfeuer.at/pipermail/wien/2009-July/005183.html|Threads auf der Wien-liste]] (Mitte Juli 2009)

* Warum "passieren" Port Scans?

Allerdings ist nicht Leuten einfach nur fad (die mag es auch geben),
sondern da suchen Tools automatisch nach Hosts, die man übernehmen kann
(mit bekannten Exploits. Am Error-Log von HTTP-Servern sieht man auch,
bei welcher Webapplikation - oder Serversoftware? - es wohl Exploits
gab/gibt.).
Wenn man so einen gefunden und gecrackt hat, wird er für als
Spamschleuder oder Soldat für distributed Denial of Service Attacks u.ä.
eingesetzt. Natürlich versucht der "Übernehmer" tunlichst unerkannt zu
bleiben, d.h. er nichts kaputt machen oder löschen - sonst merkt einer
vielleicht was.
Und damit es gibt Leute, die vom Spammen u.ä. leben und das ist für
manche damit ein ganz normales Geschäft.

* Was tun?

...ist es mbMn das *mindeste*,
(Gratis-)Updates der Distribution oder des Herstellers (Hallo, Win-*
Benützer!) zu installieren.

Aber irgendwann werden Portscanner eingesetzt
werden, um sowas zu finden.

"PermitRootLogin no" sollte sowieso drin sein.

"AllowUsers" im /etc/ssh/sshd_config einsetzen (normalerweise sollten
System-Accounts eh nicht einlogbar sein, aber es schadet nichts ....)

"sshd: ALL" in /etc/hosts.deny rein und in /etc/hosts.allow die
IP-Adressen/Netze erlauben, von denen man überhaupt einloggen darf.

Es gibt Tools wie http://www.fail2ban.org/wiki/index.php/Main_Page.

← Nächstältere Version		Version vom 20. Januar 2012, 21:01 Uhr
Zeile 74:		Zeile 74:

	http://www.heise.de/security/SSH-vor-Brute-Force-Angriffen-schuetzen--/artikel/142155		http://www.heise.de/security/SSH-vor-Brute-Force-Angriffen-schuetzen--/artikel/142155
		+
		+
		+	zurück zu wiki_funkfeuer_at<br>
		+	< [[Startseite\|Startseite]] > < [[0xff_Backfire-Vienna-Startseite\|Backfire-Vienna]] > < [[0xff_Backfire-Vienna-Standards\|Standards]] > < [[0xff_Backfire-Vienna-Installation\|Installation]] > < [[0xff_Backfire-Vienna-Weiterführendes\|Weiterführendes]] > < [[0xff_Backfire-Vienna-Aktivitäten\|Aktivitäten]] > < [[0xff_Backfire-Vienna-Index\|Index]] >
		+	----
		+	<google>WIKI</google>

← Nächstältere Version		Version vom 21. Juli 2009, 20:12 Uhr
Zeile 70:		Zeile 70:

	* Im fall des falles wechsel zu BSD ;)		* Im fall des falles wechsel zu BSD ;)
		+
		+	= Brute Force Attaken =
		+
		+	http://www.heise.de/security/SSH-vor-Brute-Force-Angriffen-schuetzen--/artikel/142155

@@ Zeile 1: / Zeile 1: @@
 Der ganz normale Wahnsinn im Alltag eines Servers am Internet.
@@ Zeile 7: / Zeile 5: @@
 Der Inhaltist Sinngemäß aud dem Mailverkehr zusammengestellt. Falls jamand sein Kommentar ergänzen, ändern,... will - nur zu!
-== Warum "passieren" Port Scans? ==
+= Warum "passieren" Port Scans? =
 ... ist Leuten nicht einfach nur fad (die mag es auch geben), sondern da suchen Tools automatisch nach Hosts, die man übernehmen kann (mit bekannten Exploits. Am Error-Log von HTTP-Servern sieht man auch, bei welcher Webapplikation  - oder Serversoftware? - es wohl Exploits gab/gibt). Wenn man so einen gefunden und gecrackt hat, wird er für als Spamschleuder oder Soldat für distributed Denial of Service Attacks u.ä. eingesetzt. Natürlich versucht der "Übernehmer" tunlichst unerkannt zu bleiben, d.h. er nichts kaputt machen oder löschen - sonst merkt einer vielleicht was. Und damit es gibt Leute, die vom Spammen u.ä. leben und das ist für
@@ Zeile 14: / Zeile 12: @@
 ...im windows bekommt man es kaum mit: Nach der einwahl ins internet dauert es max 1-2 min bis jemand beginnt deine ports abzuklopfen. Das ist alles kein spass ;) Besser du weisst bescheid und unternimmst was.
-== Was tun? Tips & Ratschläge ==
+= Was tun? Tips & Ratschläge =
 * mach ein gutes gutes Passwort!

@@ Zeile 3: / Zeile 3: @@
 Der ganz normale Wahnsinn im Alltag eines Servers am Internet.
-Dies ist eine kurze Zusammenfassug anläßlich eines [[http://lists.funkfeuer.at/pipermail/wien/2009-July/005183.html|Threads auf der Wien-liste]] (Mitte Juli 2009)
+Dies ist eine kurze Zusammenfassug anläßlich eines Threads auf der: [http://lists.funkfeuer.at/pipermail/wien/2009-July/005183.html Wien-Liste] (Mitte Juli 2009)
-* Warum "passieren" Port Scans?
+Der Inhaltist Sinngemäß aud dem Mailverkehr zusammengestellt. Falls jamand sein Kommentar ergänzen, ändern,... will - nur zu!
-Allerdings ist nicht Leuten einfach nur fad (die mag es auch geben),
+== Warum "passieren" Port Scans? ==
 sondern da suchen Tools automatisch nach Hosts, die man übernehmen kann
-(mit bekannten Exploits. Am Error-Log von HTTP-Servern sieht man auch,
+... ist Leuten nicht einfach nur fad (die mag es auch geben), sondern da suchen Tools automatisch nach Hosts, die man übernehmen kann (mit bekannten Exploits. Am Error-Log von HTTP-Servern sieht man auch, bei welcher Webapplikation  - oder Serversoftware? - es wohl Exploits gab/gibt). Wenn man so einen gefunden und gecrackt hat, wird er für als Spamschleuder oder Soldat für distributed Denial of Service Attacks u.ä. eingesetzt. Natürlich versucht der "Übernehmer" tunlichst unerkannt zu bleiben, d.h. er nichts kaputt machen oder löschen - sonst merkt einer vielleicht was. Und damit es gibt Leute, die vom Spammen u.ä. leben und das ist für
 bei welcher Webapplikation  - oder Serversoftware? - es wohl Exploits
-gab/gibt.).
 Wenn man so einen gefunden und gecrackt hat, wird er für als
 Spamschleuder oder Soldat für distributed Denial of Service Attacks u.ä.
 eingesetzt. Natürlich versucht der "Übernehmer" tunlichst unerkannt zu
 bleiben, d.h. er nichts kaputt machen oder löschen - sonst merkt einer
 vielleicht was.
 Und damit es gibt Leute, die vom Spammen u.ä. leben und das ist für
 manche damit ein ganz normales Geschäft.
-* Was tun?
+...im windows bekommt man es kaum mit: Nach der einwahl ins internet dauert es max 1-2 min bis jemand beginnt deine ports abzuklopfen. Das ist alles kein spass ;) Besser du weisst bescheid und unternimmst was.
-...ist es mbMn das *mindeste*,
+http://www.dd-wrt.com/wiki/index.php/Preventing_Brute_Force_Attacks
-(Gratis-)Updates der Distribution oder des Herstellers (Hallo, Win-*
-Benützer!) zu installieren.
-Aber irgendwann werden Portscanner eingesetzt
+* Portknocking
-werden, um sowas zu finden.
+Bei der richtigen Sequenz an TCP/IP Verbindungsanfragen (SYN) auf bestimmten Ports sollte iptable nur diese eine IP und den SSH ort für eine bestimmte Zeitspanne zum Verbinden freigeben.
-"PermitRootLogin no" sollte sowieso drin sein.
+http://de.wikipedia.org/wiki/Portknocking
-"AllowUsers" im /etc/ssh/sshd_config einsetzen (normalerweise sollten
+* System hardening
-System-Accounts eh nicht einlogbar sein, aber es schadet nichts ....)
+Im debian repo findest du auch tools wie "harden" oder "bastille" sowie tools for firewalling (zb fwbuilder, shorewall) incl guis (if you need them). "logcheck" ist uu auch von interesse für dich.
-"sshd: ALL" in /etc/hosts.deny rein und in /etc/hosts.allow die
+* wenig services drauf haben ;-)
-  IP-Adressen/Netze erlauben, von denen man überhaupt einloggen darf.
-Es gibt Tools wie http://www.fail2ban.org/wiki/index.php/Main_Page.
+* Im fall des falles wechsel zu BSD ;)