Bericht door: Sylvester op 05 februari 2021, 06:54:56
Allemaal rond hetzelfde uur en op verschillende NAS'en en via SSH, blijkbaar stond dat nog op.
Nog iemand last van gehad?
Het vreemde is dat al die IP adressen niet (op ééntje na) automatisch in de geblokkeerde lijst zijn terechtgekomen, ondanks dat het zo ingesteld is.
[attach=1]
Bericht door: bussie op 05 februari 2021, 07:45:51
Dat niet alle IP's niet in blokkeer lijst komen zal m.i. moeten komen dat ze niet aan de voorwaarde van 10 keer inloggen binnen 5 minuten voldoen. Moet je kunnen nagaan in het logboek.
Ik heb dit krapper staan, 3 keer binnen 5 minuten.
Bericht door: Sylvester op 05 februari 2021, 08:07:42
Bericht door: HenkGroen op 05 februari 2021, 09:21:06
Bij mij staat dat als je binnen 6 a 7 dagen 2 keer verkeerd inlogt, je geblocked wordt.
En bij mij staat alleen toegang vanuit NL open, dus ook dat scheelt veel.
Zie bijlage
Dus, als ze om de dag of 2 dagen een poging zouden doen, liggen ze er alsnog uit.
Ik krijg heel soms een melding vanuit NL, maar dat is zelden.
(en ze worden ook nooit meer opgeheven, dus die IP-Adressen blijven altijd geblocked)
Bericht door: Briolet op 05 februari 2021, 09:32:38
ik vind die 5min. ook erg kort. Als ze elke 6 min. een poging doen, mag dat dus
Klopt. En er zijn zeker aanvallers die het eens per half uur proberen. (Zie ik in mijn log). Maar aan de goede kant: Als ze het slechts eens per 30 minuten proberen hebben ze wel heel weinig pogingen per jaar. Het belangrijkste is dat ze niet duizenden pogingen per seconde kunnen doen. Wat zou kunnen als je helemaal geen limiet instelt.
Bericht door: DSGebruiker op 05 februari 2021, 09:51:31
Ook de source-IP's zijn dikwijls terug te vinden als je over langere termijn kijkt.
Voor alle duidelijkheid ; mijn NAS staat niet rechtstreeks op Internet.
(https://www.synology-forum.nl/proxy.php?request=http%3A%2F%2Fwww.vanham-franck.be%2Fpics%2Fsplunk%2Fsshprobes.png&hash=5cb38d670a9201f559f1cc9bd7b96c5a49d4067f)
(https://www.synology-forum.nl/proxy.php?request=http%3A%2F%2Fvanham-franck.be%2Fpics%2Fsplunk%2Fsshprobessources.png&hash=2e5b01c5afd7e51f2284fb1027f31aba255aa7eb)
Bericht door: Robert Koopman op 05 februari 2021, 09:57:09
Mijn gebruikers gebruiken allen een password manager dus fout inloggen is vrijwel altijd iemand die er niets te zoeken heeft.
En dan zie je toch nog pogingen voorbij komen van ip adressen die telkens eentje hoger zijn dan het vorige ip adres.
Gaat vaak in blokjes van 10 adressen.
Bericht door: ufosyno op 05 februari 2021, 13:41:08
Maar ja, als je SSH - zeker op de standaardpoort - open hebt staan, dan is dat binnen een half uur over de hele wereld bekend (er lopen continue poortscans en als die dat poortje vinden is het prijs) en dan is een strooppot voor vliegen er niks bij.
Bericht door: Sylvester op 05 februari 2021, 16:00:56
De reden is dat ik (nog steeds) aan het zoeken ben wat er mis is met de netwerk backup van Hyper Backup (backup van Nas naar Nas - extern)
Omdat die nog steeds hapert naar mijn NAS toe, heb ik (buiten 6281 die al open stond)
22 en 873 ook open gezet.
Ik had ergens gevonden dat die nodig waren voor Hyper Backup als je extern naar een andere NAS gaat.
Maar volgens mij hapert hij nog steeds.
Wat de IP adressen betreft, het is toch opmerkelijk dat ik een mail heb gekregen:
Via het IP-adres [101.108.49.49] zijn 10 mislukte aanmeldingspogingen voor aanmelding bij SSH uitgevoerd vanaf RWKDS binnen een tijdsduur van 5 minuten en is geblokeerd om Fri Feb 5 04:26:49 2021.
Zo heb ik een 4-tal IP adressen zien passeren en toch staat er maar één in de geblokkeerde lijst.
Bericht door: GerardR op 05 februari 2021, 16:03:58
firewall instellen (https://www.synology-forum.nl/synology-router/firewall-instellingen-synology-router-srm-1-2-x/msg265310/#msg265310)
Geeft veel rust.
Daarnaast voeg ik regelmatig IP adressen toe aan de blokkeringslijst vanaf dit adres
Zie: Geblokkeerde IP adressen (https://www.dan.me.uk/torlist/)
Bericht door: Sylvester op 05 februari 2021, 16:06:50
Ik stel wel vast dat de IP adressen in mijn andere NAS (die elders staat) wél in de blocklist gekomen zijn.
Nochtans staan alle instellingen identiek.
>edit: ok lichte verwarring met de emails. Door het feit dat ik CMS gebruik, zijn de mails verwarrend en lijkt het alsof die e-mail adressen allemaal mijn NAS zijn gepasseerd, maar in feite zijn het meldingen van de andere NAS via CMS naar mijn NAS. De lijst klopt, daar zijn ze allemaal geblokkeerd. Sorry ::)
Bericht door: Birdy op 05 februari 2021, 16:40:07
[attachimg=1]
Krijg ook nooit meldingen, sinds half 2019.
Bericht door: Babylonia op 05 februari 2021, 16:49:33
Toevallig wel enkele weken terug, maar had te maken dat Synology support in Taiwan in mijn router via SSH iets wilde doen.
Had per vergissing toen even poort 22 voor "alle" landen open gezet. Tja, dan heb je in een mum van tijd die vliegen op de stroop.
Oei, dat moet ik eens doorspitten. Ik ben niet zo'n specialist op gebied van routers en zo...
Omdat de firewall van de Synology router (https://www.synology-forum.nl/synology-router/firewall-instellingen-synology-router-srm-1-2-x/msg265310) vergelijke raakvlakken heeft met die in de NAS gebruikt,
kun je met de aangegeven uitleg/adviezen daarmee prima ook de firewall van de NAS instellen.
Bericht door: Briolet op 05 februari 2021, 16:52:15
Code: [Selecteer]
2021-01-24T09:11:49+01:00 GedeeldeData postfix/smtpd[11205]: connect from unknown[87.246.7.226]
2021-01-24T09:12:00+01:00 GedeeldeData postfix/smtpd[11205]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:12:00+01:00 GedeeldeData postfix/smtpd[11205]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:42:00+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:42:09+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:42:10+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:42:46+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:42:56+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:42:56+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:43:30+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:43:40+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:43:40+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:44:14+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:44:23+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:44:24+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:44:59+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:45:08+01:00 GedeeldeData postfix/smtpd[4846]: warning: unknown[87.246.7.226]: SASL LOGIN authentication failed: authentication failure
2021-01-24T09:45:08+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] ehlo=1 auth=0/1 rset=1 quit=1 commands=3/4
2021-01-24T09:45:42+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:45:42+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:46:25+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:46:25+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:47:08+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:47:08+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:47:51+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:47:51+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:48:34+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:48:34+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:49:18+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:49:18+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:50:01+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:50:01+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:50:45+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:50:45+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:51:28+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:51:28+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:52:12+01:00 GedeeldeData postfix/smtpd[4846]: connect from unknown[87.246.7.226]
2021-01-24T09:52:12+01:00 GedeeldeData postfix/smtpd[4846]: disconnect from unknown[87.246.7.226] commands=0/0
2021-01-24T09:52:56+01:00 GedeeldeData postfix/smtpd[13983]: connect from unknown[87.246.7.226]
enz.......
Na 6 mislukte pogingen is hij geblokkeerd, maar hij blijft het nog steeds elke minuut proberen sinds 24 januari. Hij kan dan wel niets meer, maar dit soort acties frustreert wel het zoeken van relevante info in mijn maillog.
En blijkbaar heeft het gebruikte script niet in de gaten dat ze geblocked zijn.
Wat dat betreft is het jammer dat je niet automatisch iets kunt blokkeren in de firewall. Soms zet ik zo'n reeks adressen met de hand in de firewall om van dat gespam in mijn log af te zijn.
Bericht door: Sylvester op 05 februari 2021, 17:12:32
Omdat de firewall van de Synology router (https://www.synology-forum.nl/synology-router/firewall-instellingen-synology-router-srm-1-2-x/msg265310) vergelijke raakvlakken heeft met die in de NAS gebruikt,
kun je met de aangegeven uitleg/adviezen daarmee prima ook de firewall van de NAS instellen.
Ik heb een Asus router, maar er zullen zeker wel raakvlakken zijn.
Bericht door: DSGebruiker op 05 februari 2021, 17:42:38
Puur uit interesse laat ik al die logs vanuit m'n firewall in m'n Splunk platform stromen om daar oa mooie grafiekjes van te maken. Gewoon omdat ik daar professioneel ook wel eens mee bezig ben.
In theorie kan je zeggen : waarom zet je die allemaal op een lijst die je telkens moet processen ipv gewoon te droppen etc,etc,etc. Ach ja, gewoon een hobby hé 8)
(https://www.synology-forum.nl/proxy.php?request=http%3A%2F%2Fwww.vanham-franck.be%2Fpics%2Fsplunk%2Fportscanners.png&hash=8926c258586050a7fc864e20769d5b6b9d89adee)
Bericht door: Babylonia op 05 februari 2021, 19:14:36
Ik heb een Asus router, maar er zullen zeker wel raakvlakken zijn.
Nee, je snapt het niet goed.
De firewall van zowel een Synology router als van een Synology NAS zijn sterk aan elkaar gerelateerd.
De producten komen uit dezelfde stal. Een Synology NAS was er al eerder dan hun router.
(De firewall van de router is nota-benen geïnspireerd op die van de NAS).
Je hebt een Synology NAS. Ofwel "andersom" de aanwijzingen die in dat onderwerp zijn gegeven voor een Synology router
zijn in grote mate ook toepasbaar op de firewall van de Synology NAS.
Bericht door: André PE1PQX op 05 februari 2021, 19:30:46
Waarom NLD, BE en DE wel toegang? Omdat ik heel af-en-toe daar wel eens kom, en ga ik ergens naartoe op vakantie (Gran Canaria bijvoorbeeld) dan zet ik tijdelijk ook Spanje in dat lijstje.
Bericht door: Babylonia op 06 februari 2021, 06:47:33
Sommigen zijn echter heel hardnekkig als ze geblocked zijn. De volgende heeft zeker 10.000 pogingen gedaan bij de mailserver:
Als je op het IP-adres zoekt is het kennelijk geen onbekend adres. Een kleine 6000 klachten.
https://www.abuseipdb.com/check/87.246.7.226
Als je nog naar wat "whois" sites zoekt komen er eigenlijk twee verschillende herkomsten naar boven.
Verenigd Koninkrijk en Bulgarije. Ben dan eerder geneigd te denken dat die hackpogingen uit Bulgarije komen?
Meer uitvoerige info:
https://anti-hacker-alliance.com/index.php?ip=87.246.7.226
Met o.a. 95 bad neighbor IPs are known!
Verder naar onderen bij commentaren: (5 days ago) x said:
this scumbag is trying to link my email account to another one
Als je voor je mail-server mogelijk toch "Bulgarije" in de firewall erbij zet. Stopt het misschien?
Bericht door: HenkGroen op 06 februari 2021, 08:07:21
Bericht door: Babylonia op 06 februari 2021, 08:14:45
Bericht door: Briolet op 06 februari 2021, 09:38:31
Als je nog naar wat "whois" sites zoekt komen er eigenlijk twee verschillende herkomsten naar boven.
Verenigd Koninkrijk en Bulgarije. Ben dan eerder geneigd te denken dat die hackpogingen uit Bulgarije komen?…
Als je voor je mail-server mogelijk toch "Bulgarije" in de firewall erbij zet. Stopt het misschien?
Als je zelf in de terminal een 'whois 87.246.7.226' doet, krijg je alleen een locatie in Londen terug met een Russich abuse email adres. De blokkeringsljst van de nas noemt het inderdaad Bulgaars. Ik wil bij de smtp poort niet te gereniek blokkeren. Niet dat ik mail uit Bulgarije verwacht, maar ook reguliere mail kan soms via omwegen binnen komen. Ik heb nu alleen het blok wat whois aangeeft in de firewall gezet.
Bericht door: Briolet op 06 februari 2021, 09:55:17
@Briolet : Ik heb geen mailserver, maar is er een algemene logfile waar ik kan zien of ze het (ondanks dat ze geblokkeerd zijn) het toch elke minuut blijven proberen ?
Volgens mij niet. De gewone logfile registreert alleen het inloggen als er ook accountgegevens ingevuld worden. Zover komen ze niet als ze geblokkeerd zijn.
Mailserver logt iets agressiever door al de eerste connect te loggen. Hij ziet dan via de blocklist dat dit IP geen toegang heeft en verbreekt de verbinding weer.
Als je het IP blockt via de firewall, komt er ook geen connectie tot stand. Maar zelfs dat is te loggen via darkstat. Want als een IP door de firewall geblokkeerd is, komen er wel pakketjes binnen, hij reageert er alleen niet op. Van dit specifieke IP komen nu allleen blokjes van 60 bytes binnen. Darkstat onthoud echter alleen het tijdstip van het laatste contact met dat IP.
Bericht door: Jerengina op 06 februari 2021, 11:58:25
Zie: Geblokkeerde IP adressen (https://www.dan.me.uk/torlist/)
Aan de moderatoren: bestaat er een mogelijkheid dat op dit forum samengewerkt kan worden om alle geblokkeerde IP-adressen te bundelen?
Bericht door: HenkGroen op 07 februari 2021, 09:56:38
Thanks voor jullie info.
Ik zie nu ook op deze manier met welke user ze het proberen.
Die zie ik normaliter niet als ik een mail krijg dat het geblokkeerd is.
weer wat geleerd. :clap:
Zie ook in de bijlage, waarin de voor mij onbekende users staan.
(ps. de bovenste regel/user is van mezelf...)
Bericht door: Clan1511 op 07 februari 2021, 13:01:08
Ik heb in mijn NAS firewall alle landen geblokkeerd behalve NLD, BE ,DE en de USA (voor de Let's Encrypt certificaat). Nog geen vervelende pogingen gezien van inbraak.
Ik heb geprobeerd in het configuratiescherm/firewall te vinden waar ik de landen kan blokkeren, maar ik zie het nergens.
Zou het mogelijk zijn dit met een screenshot te laten zien?
Bij voorbaat dank,
M.vr.gr.
Bericht door: Birdy op 07 februari 2021, 13:17:16
[attachimg=1]
Bericht door: Clan1511 op 07 februari 2021, 13:48:21
Toch nog een vraagje, wat wordt bedoeld met:
Voor systeem gereserveerd, anonieme proxie?
Bedankt maar weer,
M.vr.gr.
Bericht door: Birdy op 07 februari 2021, 14:07:06
Dit type proxyserver identificeert zichzelf als een proxyserver, maar geeft het oorspronkelijke IP-adres van de gebruiker niet door. Anonieme proxyservers bieden een redelijke anonimiteit voor de gebruiker.
Je kunt een anonieme proxyserver dus niet gebruiken om Netflix mee te kijken.
Netflix weet dan dat je een proxy gebruikt en geeft je geen toegang tot de meeste delen van de website.
Bericht door: Jerengina op 07 februari 2021, 14:31:58
@BirdyZie: Geblokkeerde IP adressen (https://www.dan.me.uk/torlist/)
Aan de moderatoren: bestaat er een mogelijkheid dat op dit forum samengewerkt kan worden om alle geblokkeerde IP-adressen te bundelen?
Zou jij svp willen reageren op deze vraag?
Bericht door: Briolet op 07 februari 2021, 14:44:25
In mijn blocklist staan b.v. iets van 16000 adressen. (dacht ik) Maar wat is er mis dit zelf te laten groeien? Ik zet de periode op 999 dagen (Voor altijd vind ik maar niets omdat eigenaars van IP adressen kunnen wisselen).
En de mail notification zet ik uit omdat je er toch niets aan hebt. Tenslotte is dat adres dan al geblokkeeerd en kun je vergeten.
Bericht door: Jerengina op 07 februari 2021, 14:50:09
