Eigener Server und Fail2Ban

Bandwurm · 21. October 2015, 16:25

Seit Frühjahr und auch auf dem neuen Server habe ich nun Fail2Ban und dieses Programm ist Gold wert.

Ich habe zwar den SSH (root-Konsole) auf meinen IP-Range per Firewall begrenzt und somit fast 99% dieser Attacken eleminiert, was aber auf dem SMTP Port abgeht, kaum zu glauben.

Ohne Fail2Ban und der Eintragung dadurch der "bösen" IPs in iptable hätte ich jeden Tag mindestens 200 Versuche meinen Mailserver zu knacken.

Dabei hätten die alle eigentlich keine Chance den meine E-Mail Passwörter sehen alle so aus (Beispiel): iNFNJvd22w*Q2y%^qrjyKQuEUBiCnL8z (32 Stellen, Groß-Keinschreibung, Zahlen und Sonderzeichen). Jede Wette, dass dies eh nie geknackt wird. Aber es ist schon erstaunlich wie viele sogar von deutschen IPs aus versuchen, da ran zu kommen.

Aber Dank Fail2Ban ist nach 2 Fehlversuchen die IP für 21 Tagen auf dem SMTP Port gesperrt. Erkennungszeit für die zwei Versuche ist übrigens nicht der Standartwert, denn die Spitzklicker sind ja so schlau nur alle 1-2 Stunden einen Versuch zu machen, tja so schaut Fail2Ban nun hier auch den Range von 6 Stunden ab.

Bandwurm · 21. October 2015, 16:41

Bei allen Versuchen von deutschen IPs/Provider und auch von vielen EU Länder IPs geht eine Meldung an die jeweilige Abuse E-Mail, mit dem Log Eintrag, des Providers. Durchaus mit positiven Rückmeldungen vom jeweiligen Abuse Team, bin überrascht davon.

Bandwurm · 21. October 2015, 17:46

Hello,

Thank you for contacting abuse@ecatel.net

Please be aware Ecatel is an Internet Service Provider, providing internet
access and bandwidth by means of dedicated servers..

We are not a hosting provider and, we do not control the servers of our
customers.

All dedicated servers are UNMANAGED, therefore the content on each server is
not under our control.

Ecatel does not offer any domain registration and/or hosting services.

To open a ticket, please use the Notice & Takedown form which is located on
our website at:

http://www.ecatel.net/ntd.php

Thank you!

Ecatel abuse department.

Was konntrollieren die denn überhaupt? Narrenfreiheit lässt Grüßen.
Also, liebes ecatel.net Team eure gesammte IP Range ist für SMTP bei mir dauerhaft gesperrt, für immer.

Bandwurm · 21. October 2015, 21:53

Wenn ich z.B. alle Vorkehrungen meiner beiden offiziellen E-Mail Acounts/Domains deaktiviere habe ich 1.500 E-Mails/Tag. Effektiv habe ich keine 10, die durchkommen, davon 80% brechtigte/gewollte.

Sorry Spammer, aber skats.de hat keine CatchAll mehr, zu schade für Euch.

Bei meiner privaten Domain habe ich noch eine CatchAll, aber ich habe dadurch seit Jahren verschiedenen Firmen ihre "spezifische" E-Mail gegeben. In drei Fällen wurde diese nun als Spam Adresse mißbraucht, ob gehackt, oder weitergegeben, keine Ahnung.
Aber auch da: Ich kann trotz CatchAll bestimmte E-Mail Addys abweisen, es geht auch dies.

Bandwurm · 11. November 2015, 17:43

Nachdem ich die Regeln angepasst habe, funktioniert Fail2Ban hervoragend.
Jeden Tag 2-3 neue IPs die gesperrt werden.
Sperrzeit bei mir 1 Monat. Fehlversuche 3, bei der ftp Regel sogar nur 1 Fehlversuch und dann erfolgt die Sperre.

21. October 2015, 16:25	#1
Bandwurm Erde, Wind & Feuer Registriert seit: February 2002 Ort: Ockershausen Beiträge: 7.669	Eigener Server und Fail2Ban Seit Frühjahr und auch auf dem neuen Server habe ich nun Fail2Ban und dieses Programm ist Gold wert. Ich habe zwar den SSH (root-Konsole) auf meinen IP-Range per Firewall begrenzt und somit fast 99% dieser Attacken eleminiert, was aber auf dem SMTP Port abgeht, kaum zu glauben. Ohne Fail2Ban und der Eintragung dadurch der "bösen" IPs in iptable hätte ich jeden Tag mindestens 200 Versuche meinen Mailserver zu knacken. Dabei hätten die alle eigentlich keine Chance den meine E-Mail Passwörter sehen alle so aus (Beispiel): *iNFNJvd22wQ2y%^qrjyKQuEUBiCnL8z** (32 Stellen, Groß-Keinschreibung, Zahlen und Sonderzeichen). Jede Wette, dass dies eh nie geknackt wird. Aber es ist schon erstaunlich wie viele sogar von deutschen IPs aus versuchen, da ran zu kommen. Aber Dank Fail2Ban ist nach 2 Fehlversuchen die IP für 21 Tagen auf dem SMTP Port gesperrt. Erkennungszeit für die zwei Versuche ist übrigens nicht der Standartwert, denn die Spitzklicker sind ja so schlau nur alle 1-2 Stunden einen Versuch zu machen, tja so schaut Fail2Ban nun hier auch den Range von 6 Stunden ab.

21. October 2015, 16:41	#2
Bandwurm Erde, Wind & Feuer Registriert seit: February 2002 Ort: Ockershausen Beiträge: 7.669	Abusemeldung Bei allen Versuchen von deutschen IPs/Provider und auch von vielen EU Länder IPs geht eine Meldung an die jeweilige Abuse E-Mail, mit dem Log Eintrag, des Providers. Durchaus mit positiven Rückmeldungen vom jeweiligen Abuse Team, bin überrascht davon.

21. October 2015, 17:46	#3
Bandwurm Erde, Wind & Feuer Registriert seit: February 2002 Ort: Ockershausen Beiträge: 7.669	Abuse Ecatel, ich bin sprachlos Hello, Thank you for contacting abuse@ecatel.net Please be aware Ecatel is an Internet Service Provider, providing internet access and bandwidth by means of dedicated servers.. We are not a hosting provider and, we do not control the servers of our customers. All dedicated servers are UNMANAGED, therefore the content on each server is not under our control. Ecatel does not offer any domain registration and/or hosting services. To open a ticket, please use the Notice & Takedown form which is located on our website at: http://www.ecatel.net/ntd.php Thank you! Ecatel abuse department. Was konntrollieren die denn überhaupt? Narrenfreiheit lässt Grüßen. Also, liebes ecatel.net Team eure gesammte IP Range ist für SMTP bei mir dauerhaft gesperrt, für immer.

21. October 2015, 21:53	#4
Bandwurm Erde, Wind & Feuer Registriert seit: February 2002 Ort: Ockershausen Beiträge: 7.669	E-Mail Spam Wenn ich z.B. alle Vorkehrungen meiner beiden offiziellen E-Mail Acounts/Domains deaktiviere habe ich 1.500 E-Mails/Tag. Effektiv habe ich keine 10, die durchkommen, davon 80% brechtigte/gewollte. Sorry Spammer, aber skats.de hat keine CatchAll mehr, zu schade für Euch. Bei meiner privaten Domain habe ich noch eine CatchAll, aber ich habe dadurch seit Jahren verschiedenen Firmen ihre "spezifische" E-Mail gegeben. In drei Fällen wurde diese nun als Spam Adresse mißbraucht, ob gehackt, oder weitergegeben, keine Ahnung. Aber auch da: Ich kann trotz CatchAll bestimmte E-Mail Addys abweisen, es geht auch dies.

11. November 2015, 17:43	#5
Bandwurm Erde, Wind & Feuer Registriert seit: February 2002 Ort: Ockershausen Beiträge: 7.669	Optimierung der Regeln/Jails in Fail2Ban Nachdem ich die Regeln angepasst habe, funktioniert Fail2Ban hervoragend. Jeden Tag 2-3 neue IPs die gesperrt werden. Sperrzeit bei mir 1 Monat. Fehlversuche 3, bei der ftp Regel sogar nur 1 Fehlversuch und dann erfolgt die Sperre.