Skanowanie RDP przez boty

HVOuser - 18-07-2010 14:19
Skanowanie RDP przez boty
Od początku posiadania serwera dedykowanego obserwuję próby włamania przez protokół RDP, praktycznie codziennie. Niektóre boty potrafią sprawdzić kilka tysięcy haseł zanim się poddadzą. Zwykle ich adresy IP należą do klas publicznych providerów z Europy lub z dalekiego wschodu, więc pewnie prywatnych maszyn. I zwykle się nie martwię, bo nawet nazwy konta nie odgadują.
Czasem jednak są niepokojące, np.: 94.23.243.187
należy do "OVH SAS Dedicated Servers". Kiedyś napisałem do OVH z takimi przypadkami, ale odpisali że nie zajmują się tym, czy ktoś w ich sieci próbuje włamań czy nie, zabezpieczyć trzeba się samemu.
Czy macie podobne doświadczenia?

qermit - 18-07-2010 15:08
zdefiniuj sobie reguły dostępu na zaporze i będziesz szczęśliwy

jest też coś takiego:
http://www.itefix.no/i2/node/12081

HVOuser - 18-07-2010 17:54
To jest trochę zamiatanie problemu pod dywan, bo ataki z danego IP się nie powtarzają (boty tak głupie nie są, aby tracić czas). Problemem jest to, że provider takich maszyn nie weryfikuje. Jest w ogóle w ovh jakaś polityka bezpieczeństwa dla serwerów dedykowanych?

elock - 18-07-2010 18:45
Zezwól na logowanie tylko z Polski wycinając inne IP zgodnie z geolokalizacją.

elock - 18-07-2010 18:50
Przydatne - strony ze spisami IP dla poszczególnych krajów:
http://www.countryipblocks.net/count...elect-formats/

http://www.ipaddresslocation.org/ip_...get_ranges.php

http://www.analysespider.com/ip2coun...ntry_code.html

HVOuser - 18-07-2010 20:23
Często podróżuję do innych krajów, to by mi sprawiło sporo kłopotów. Poza tym, to nie rozwiązuje problemu - problemem jest brak ścigania zombies.

rielev - 18-07-2010 21:02
Jeżeli masz logi prób połączeń z sieci OVH to prześlij na abuse@ovh.net.

elock - 18-07-2010 21:26
Może by zmienić port na zdalnym pulpicie , jeżeli to nie pomoże skontaktuj się z ovh aby zgłosić taki problem.
Często są atakowane serwery ovh z powodu iż użytkownicy ich nie zabezpieczają i stają się łatwym kąskiem dla zombi.
Mi firewall co dziennie dopisuje ok 10 adresów IP do zablokowanych z powodu próby ataku. Ale już kończę przygotowanie do uruchomienia serwera firewall / proxy który będzie filtrował ruch na wszystkich moich serwerach zanim do nich trafi.