Hoe weer je de hackers uit China?

[Briolet]

....die met de 'iptables'  firewall (die al gebruikt wordt op de Synology) ip-adres ranges te blokkeren. Met de DSM interface kun je alleen losse adressen invoeren,

Zolang ik me kan herinneren (DSM 3.2) kun je bij DSM ook ranges invoeren. Ik heb er zelf ook veel ranges in staan. b.v. de range van het interne netwerk behandel ik anders als de rest bij de firewall.
En ook bij blokkeringen ben ik soms rigoureus (Vooral bij werelddelen waar ik toch geen connecties mee verwacht) en blokkeer dan de gehele range van de provider van waaruit de hackpoging begon.

[Robert Koopman]

Hoe ziet zo'n range eruit dan?
Ik kan alleen per volledig IP adres blokken.

Maar blokken kost de NAS toch ook wat tijd, hij moet toch even in de tabel kijken.

[Briolet]

In de firewall kun je gewon voor single IP of subnet kiezen.

bv

IP: 212.0.0.0      subnet mask 255.0.0.0

IP 198.20.64.0  subnet mask 255.255.192.0

Ik denk dat je gewoon bij de auto blokkeren functie gekeken hebt i.p.v. de firewall zelf.

En over de tijd die het kost om die tabellen te raadplegen zou ik me geen zorgen maken. Dat is verwaarloosbaar.

Mijn laatste melding kwam b.v. van 113.161.80.15

Als ik dan info opvraag via: http://myip.ms/info/whois/113.161.80.15

Dan zie ik dat dat IP tot een Vietnamese provider behoord. Ik heb geen behoefte aan vietnamese toegang dus van mij mag die gehele range geblokkeerd in de firewall. Dat zijn direct 65 duizend adressen. 

[gaitj]

Sorry, maar dit verhaal is mij echt te wild.Als het echt zo erg is dan moet je wellicht gaan kijken of er iets binnen je eigen netwerk goed mis is of dat er iets (op je website) is wat anderen doet denken dat je over atoomgeheimen beschikt.

Ik sluit me hierbij aan en ben ook wel errug nieuwsgierig geworden naar die website die zoveel chinezen trekt 

[Robert Koopman]

Ik sluit me hierbij aan en ben ook wel errug nieuwsgierig geworden naar die website die zoveel chinezen trekt 

Een website bezoeken is nog niet inbreken.

[Briolet]

...website die zoveel chinezen trekt 

Ik heb even bij mijn blokkeringen gekeken. Bij de laatste 10 zat maar 1 chinees. De rest kwam uit Mexico, Taiwan, Vietnam, Indonesië, Iran, Ghana, Groot-Britanië. Dus behoorlijk random over de wereld.

[arnom]

De mails aan laten staan over het blokkeren helpt helemaal niets. Je bent juist bang voor de inlogpoging die wel lukt en daar krijg je dus juist geen mails van!

Schijnveiligheid dus in mijn ogen (of je moet ook mails krijgen wanneer het inloggen wel gelukt is, dan zou ik alleen die aanzetten).

[Briolet]

of je moet ook mails krijgen wanneer het inloggen wel gelukt is, dan zou ik alleen die aanzetten).

Als dat inloggen een log regel genereert, dan kun je er een melding van laten maken via mail op basis van trefwoord.

(Bij het browsen door mijn log, zag ik net een geslaagde inlog op mijn admin account op een tijdstip dat ik nog sliep....  Gelukkig was dat een van de twee IP's die ik in de firewall open gezet heb voor de DSM5-beta-testers uit taiwan.  )

[gaitj]

Ik sluit me hierbij aan en ben ook wel errug nieuwsgierig geworden naar die website die zoveel chinezen trekt 

Een website bezoeken is nog niet inbreken.

Dat klopt natuurlijk, maar afhankelijk van de inhoud van een site kan een hacker besluiten om een IP wat extra "aandacht" te geven...

[TonVH]

Ik sluit me hierbij aan en ben ook wel errug nieuwsgierig geworden naar die website die zoveel chinezen trekt 

Een website bezoeken is nog niet inbreken.

Helemaal waar maar de reden dat ik dit schreef is dat blijkbaar OP absurd veel pogingen kent (krijg de indruk van continu en aan 1 stuk door gezien de aantallen van meen 25 per seconde). Dat betekent dan m.i. dat er geen sprake is van een toevallige poging maar dat iemand (met gespoofde adressen wellicht) bewust wil inbreken.

De vraag is dan wat maakt OP zo interessant? Wellicht omdat hij via de website de indruk geeft over topgeheimen op z'n Nas.

[davincent1969]

Even voor de gene die denken dat ik een interessante website had, jaha, 10 jaar geleden wel.. :-)
Zo'n 7 jaar geleden voor het laatst iets aan gedaan (kreeg zoon, dus moest ergens wat inleveren).
Het is een veredelde homepage :-) Nu zet je dat soort dingen op facebook.
Hij bevat foto's van onze skivakanties, IJsland, en een pagina over het zelf waxen van skies, die werd nog het meeste bezocht.
Oja, ik had er ook een site van mijn vader onder draaien, over zijn hobby, schilderen.
Kortom, heel boeiend, voor een beperkte doelgroep :-).

De interesse is gericht op de mailomgeving. Verder heb ik alle diensten gesloten en de laatsten poorten die open stonden waren 25 en 80.
Toen deze aanvallen begonnen, maanden terug, heb ik de beveiliging steeds verder opgevoerd en op gegeven moment rigoureus herzien (met een document gevonden bij Synology de beveiliging zo zwaar mogelijk ingesteld). Het loopt al een tijdje, dus wellicht hebben ze dat gemerkt in de vorm van minder steeds minder services en dichte poorten) en is dat waarom ze misschien denken dat er wat te halen valt.

Maar het zal waarschijnlijk wel een poging zijn mijn mailserver te kapen en dat ding te kunnen misbruiken als relayserver voor spamming. Ik neem niet aan dat de chinese geheime dienst hier achter zit.. 

[TonVH]

Dus zorg dat je IP verandert. Is een fluitje van een cent.

[davincent1969]

Natuurlijk niet! De andere kant weet niet dat jouw Nas een mail stuurt. Het aankloppen gebeurt in hoog tempo omdat daarmee de kans bestaat dat er een storing in het OS komt en dat ze op die manier binnen kunnen komen.

En ik denk dat dat de reden is van mijn achterliggende zorgen. Kan de beveiliging nog zo goed hebben, bruut geweld is maar afwachten steeds... 

Maarrrr, je kunt met grote zekerheid er vanuit gaan dat dit soort praktijken (en zeker niet continu, zoals uit jouw berichten moet blijken) echt niet op een huis-tuin-keuken Nas gericht zullen worden.

Niet continue, maar wel in bursts van zo'n 20 minuten, laatste weken paar keer per dag.  En het is wel een huis-tuin-keuken nas. Ik ben niet commercieel, zit op een dynamische IP-reeks, dus ze moeten zelf toch ook wel weten dat ze bij iemand thuis bezig zijn, zeker als ze de site hebben bekeken.
Ik vermoed dat ze iets hebben waarmee ze meerdere sites regelmatig bestoken, anders zou het wel continue doorgaan. Er zitten gelukkig hele lange pauzes tussen, maar de frequentie en duur neemt steeds toe. Alsof ze meer rekenkracht hebben (of minder targets bestoken).

Sorry, maar dit verhaal is mij echt te wild.Als het echt zo erg is dan moet je wellicht gaan kijken of er iets binnen je eigen netwerk goed mis is of dat er iets (op je website) is wat anderen doet denken dat je over atoomgeheimen beschikt.
En dus moet er iets zien wat hou interessant maakt en anderen niet. En dat zit niet in een hacker maar door iets wat jij laat weten.

Ik denk niet dat mijn netwerk technisch zo beroerd in elkaar zit, ik heb geen openbare IP-nummers ingesteld oid :-) Ik zal wel slachtoffer zijn van iemand die dacht iets makkelijk te krijgen, maar inmiddels er achter is dat het toch lastiger is (geworden). En dan is de uitdaging nog groter....

[davincent1969]

De mails aan laten staan over het blokkeren helpt helemaal niets. Je bent juist bang voor de inlogpoging die wel lukt en daar krijg je dus juist geen mails van!

Schijnveiligheid dus in mijn ogen (of je moet ook mails krijgen wanneer het inloggen wel gelukt is, dan zou ik alleen die aanzetten).

Als het hacken ineens stopt  (geen failed logon mailtjs meer), dan inloggen in DSM om te zien wat je server doet (hopelijk niks, maar je kan wel zien of de mailserver druk is (geweest) met iets wat jij niet wil.

[davincent1969]

Dus zorg dat je IP verandert. Is een fluitje van een cent.

Ander IP, ander DNS naam en andere provider, dat zou wel helpen... Alleen ander IP niet (lang).

Of de site elders hosten, maar goed, dat was nu juist een van de leuke dingen van de Synology NAS.