Aanval op Admin account

[gsamplo]

Hoi iedereen,

Sinds gistermiddag ervaar ik iedere 4-5 minuten een aanval op mijn Admin account. Dit steeds vanaf een ander IP-adres. Gisteravond de NAS maar uitgezet. Vanmorgen om half acht ging hij weer aan en 5 minuten later begon de aanval weer.

Uiteraard staat mijn Admin account uit dus tot zover geen zorgen.

Het liefst zou ik willen dat ze vanuit het buitenland helemaal geen aanmeldpoging kunnen doen. Hoe fix ik dat?

[Birdy]

Zie dit Topic.

[Rubensky]

Helemaal voorkomen ga je aanvallen nooit.
Wat je wel kan doen is dit, blokkeer middels de firewall alle landen behalve Nederland, en eventuele andere landen waarvandaan inloggen noodzakelijk is.
Zorg ervoor dat IP adressen na een aantal verkeerde inlogpogingen worden geblokkeerd.
Zet 2FA aan op je accounts.

[Briolet]

Zoals hierboven aangegeven 2FA aanzetten en die e-mail meldingen uit zetten voor je rust.

Als je nas aan het internet hangt, komen er aanvallen. Bij een maiserver zijn dit zelfs honderden per dag. Bij een goed wachtwoord + 2fa kun je de waarschuwingen negeren omdat ze toch kansloos zijn. Als ze al binnen komen, is dat door een bug in de webinterface en daar krijg je dan waarschijnlijk geen waarschuwing voor.

[Babylonia]

Wat je wel kan doen is dit, blokkeer middels de firewall alle landen behalve Nederland, en eventuele andere landen waarvandaan inloggen noodzakelijk is.

Weet niet hoe je die stelling bedoelt?  Maar zoals in andere onderwerpen aangehaald "andersom".
Sta alleen toegang toe voor Nederland (en landen waarvandaan inloggen noodzakelijk is.), het eigen LAN, en blokkeer op de rest.
Het zit hem specifiek in de volgorde hoe regels op te stellen.

[viper-srt10]

Ben blij dat ik dit lees.
Gisteren ook bij mij van het zelfde. Tot zelfs elke 40 a 50 seconden een mislukte aanmeld poging op het (uitgeschakelde) admin account.
Ik heb het (voorlopig) kunnen stoppen door mijn router een ander WAN IP te laten forceren.

[Wannabe007]

Hier hetzelfde. Sinds gisteren rond 13:30u elke paar minuten een poging om met admin in te loggen. In totaal al meer dan 900 pogingen. Een beetje filteren laat zien dat het vanuit zo'n 170 verschillende IP adressen komt.

Heeft er iemand ervaring met het (automatisch) laten blokkeren van een lijst met IP adressen? Ik dacht wellicht via een script of zo, direct naar IPTables.

[Babylonia]

Eerder is al naar < dit onderwerp > verwezen.

Uitleg van Firewall regels  -weliswaar voor een Synology router-  maar in principe geldt een vergelijkbare werking voor de Firewall van een NAS.
Kijk eens bij < DIT onderwerp >

Wat verder terug naar de basis: < HIER > en vervolgreacties. En nog wat oudere reacties < HIER >

[Wannabe007]

Omdat het vanaf roterende IP adressen plaatsvindt werkt het automatisch blokkeren niet. Alleen toegang geven vanuit Nederland is voor mij geen optie. Daarom dacht ik aan het filteren van de IP adressen en deze dan automatisch laten blokkeren door de FW. Het lijkt er op dat er 'slechts' systemen beschikbaar zijn voor de aanval en daarom zou het blokkeren hiervan al kunnen helpen.

Om het probleem nu even te tackelen had ik port-forewarding even uitgezet, maar zodra ik het weer aanzette zag ik de pogingen weer.

[Briolet]

En wat is het probleem van een aanval op het admin account? Als het uit staat gebeurt er toch nooit iets. Ik heb de meldingen uit staan en kijk heel af en toe in het logboek.

Ik heb wel in logcenter ingesteld dat als er > 20 logregels per seconde komen, dat er wel een mailtje naar me toe komt.

[DSGebruiker]

Je kan ook instellen dat vanaf 1 foute poging je reeds op de "banlist" komt, dus dan zullen zelfs roterende IP's erop komen.
Wel even opletten natuurlijk dat je zelf je INTERNE LAN IP mischien ergens zeker "whitelist" zodat je bij een foute inlogpoging ook niet mee op de ban-list komt.

Aan de andere kant is het zoals je andere ook zeggen, dit zijn automatische systemen die altijd steeds dezelfde accounts gebruiken. Als je "admin" disabled zet EN nog es een deftig password gebruikt moet je je eigenlijk geen zorgen maken, al zijn het 1000x inlogpogingen per dag. Het geeft alleen wat "logvervuiling"

Ik heb in logs van andere firewalls gezien dat er telkens bepaalde dezelfde user-id's werden gebruikt dit standaard zijn op vb qnap of cisco of andere router producten etc.

[Babylonia]

...Alleen toegang geven vanuit Nederland is voor mij geen optie.

Nee, maar kan me voorstellen dat er toch nogal wat regio's in de wereld zijn waar je werkelijk geen enkele binding mee hebt.

Dan is het een afweging om die regio's erbij te zetten waar dan "wel" mensen bij je moeten kunnen inloggen op de NAS
om data te kunnen ophalen.   5 landen, 10 landen ??

Of   -als het de meerderheid van alle landen in de wereld is-   van waar gebruikers bij je zouden moeten kunnen inloggen,
(wat ik me nauwelijks kan voorstellen),  dan maar hele lijsten samen te stellen van enkel die regio's die je perse wilt buitensluiten.

Er zijn pakweg  195 onafhankelijke landen,  dus het "kantelpunt" om met de minste moeite regio's te selecteren, is de helft.
En dan kun je kiezen voor "toegang" of juist "blokkeren".

[fred54]

Ook bij mij werd via de Admin account geprobeerd in te loggen. Dit account is uitgeschakeld en na drie inlog pogingen wordt het IP adres geblokkeerd. De inlog pogingen hielden dagelijks aan vanuit heel veel verschillende IP adressen.

Omdat ik regelmatig de Audio station van buitenaf gebruik heb ik poort 5000 in mijn router opengezet.
Ik heb deze nu geblokkeerd en sindsdien zijn er tot op heden geen inlog pogingen meer geweest.

Zou fijn zijn dat er voor de Audio Station geen poort open hoeft te staan.
Ik gebruik nu als alternatieve oplossing de DSM VPN applicatie om de Audio Station alsnog te kunnen gebruiken.

[Birdy]

Quick Connect.

[Babylonia]

Omdat ik regelmatig de Audio station van buitenaf gebruik heb ik poort 5000 in mijn router opengezet.

Poort 5000 is ook een heel slecht idee, omdat het een onversleutelde toegang betreft.
Je zou dan toch minimaal voor een https (poort 5001) moeten gaan.  (Ook via QuickConnect).