seltsame Systemverbindungsprotokolle

    Hey,


    seit ein paar Tagen läuft auf meinem NAS der FTP Server die Adresse weiß bis jetzt aber noch niemand und ich hab ihn auch noch nicht von
    fremden Rechnern oder Netzen aus benützt....


    Bei einem Blick in die Systemverbindungsprotokolle welche ich zum logen der Verbindungen eingeschaltet habe
    stehen für die letzten Tage äußert Merkwürdige Zugriffe drin... über mehrere Seiten hinweg....


    Kann sich das jemand erklären? (Dateianhang)



    ciao
    maxo11

    Zitat von "maxo11"

    Kann sich das jemand erklären? (Dateianhang)

    Ja, da versucht "jemand" von externe mit verschiedenen Benutzernamen Zugriff auf deinen FTP Server zu erlangen!


    Abschalten und/oder Sicherheitsstufe anpassen!


    Christian

    Hey,


    aber wie kann das sein den link kennt schließlich keiner
    die Angriffe kommen auch von unterschielichen ips und als Benutzername
    wird meist apache oder mysql verwendet...


    ciao
    maxo11

    Hallo maxo11,


    du bist aber naiv. Es ist ein Leichtes, einen scan (ping) über generierte XXX.dyndns.org Adressen (auch andere Anbieter) laufen zu lassen.
    Und wo sich etwas tut, kann man ja nachhaken.
    Das Internet kennt keine Privatsphäre!

    Zitat

    Das Internet kennt keine Privatsphäre!


    Zum Glück weiss es net was ich gleich vorhab. :mrgreen: ;)

    Doch, Bier austrinken und ins Bett.

    Zitat von "maxo11"

    aber wie kann das sein den link kennt schließlich keiner


    Einen link muss man nicht wissen. Sowas erledigen popelige IP/Portscanner.
    Wenn du z. B. in dein Telefon x-beliebig "836429" eintippst und es klingelt, dann hast du ja auch einen Anschluss gefunden.

    Zitat

    die Angriffe kommen auch von unterschielichen ips und als Benutzername
    wird meist apache oder mysql verwendet...


    Die Quell-IPs bei dir kamen z. B. aus Indien und Italien - und solche Hackerbubis versuchen es einfach mit 0/8/15 Standard-Benutzernamen/Passwörtern. Du glaubst gar nicht, wie oft man auf "geschützte" Seiten oder Rechner mit admin/admin reinkommt :shock:


    Gruss
    Michael

    Hey,


    danke für eure Antworten.. Wahrscheinlich hab ich das ganze wirklich etwas naiv gesehen oder einfach nicht damit
    gerechnet das es manchen Leuten so langweilig ist Scans über dyndns Adressen laufen zu lassen....


    Die fragliche dyndns Adresse ist jedenfalls abgeschaltet und wird jetzt durch ne Strato Adresse
    ersetzt welche vielleicht besseren Schutz bietet als der bekannte dyndns.org Domain...


    Beim Angriff von folgender IP seht als Provier folgendes:



    haben vielleicht auch Namenhafte dyndns Anbieter Ihre Finger bei sowas im Spiel?


    ciao
    maxo11

    Hi,
    laut WHOIS
    217.26.209.119 => hosting.gradac.net
    DNS Europa => Serbien


    ist wohl so ein Kiddy.
    Mach Dir mal keinen Kopf :mrgreen:


    Schönes Wochenende....Peter

    Zitat von "maxo11"

    haben vielleicht auch Namenhafte dyndns Anbieter Ihre Finger bei sowas im Spiel?


    ciao
    maxo11


    Hallo Maxo,


    unter http://forum.qnapclub.de/viewtopic.php?f=95&t=1754 findest Du einiges was genau diese Thematik berührt.
    Konkret aber mal zu Deinem Fall:


    1. ob es "Kiddies" sind denen Langweilig ist oder Profies, die Ihren Lebensunterhalt damit verdienen, ist eigentlich (Curry-)Wurst!
    2. So wie es bei Dir stattgefunden hat (und weiterhin stattfindet!) ist die Holzhammermethode und vergleichbar damit, dass jemand die Straße entlang geht und sich mit Schwung erstmal gegen jede Haustür schmeißt um zu sehen, welche nicht richtig verschlossen ist ;)
    3. Das ganz weitestgehen automatisiert abläuft:
    Man gibt in ein Programm den Adressbereich ein (wahlweise IP-Netze oder DNS-Namen) und sagt "guck mal was da geht" und wenn was geht teste gleich mal aus "was geht!" in den wenigsten Fällen sitzt noch jemand daneben und passt auf.
    4. Geht es hier nicht um Deine Daten, sondern meist nur darum Deine Ressourcen (Speicherplatz/Rechnerleistung) möglichst "umzuleiten" und für komplexe Berechnungen (z.B. Passwortknacker) oder als illegale Dateiablage und Virenschleuder zu nutzen. Sollten dabei noch "Nutzdaten" (gültige Emailaddressen, Bankdaten etc) abgreifen lassen, umso besser!
    5. Stecken die DynDNS-Anbieter mit drin? Nein! Diese verkaufen eine Dienstleistung und sind nicht daran interessiert in einem Zuge mit Netzwerkangriffen genannt zu werden
    6. Diese Form von Netzwerkangriffen bilden das "Grundrauschen" im Internet, da stets und ständig gepingt, gescannt und gehacked wird.


    Ich hoffe Du hast eine gute Firewall vor Deinen wichtigen Systemen/Daten....
    Grüße
    Jody

    Hallo Jody,


    Danke für die ausführliche Antwort,
    Also kann ich davon ausgehen das es den (Kiddies Hackern etc.) in diesem
    Versuch nicht gelungen ist in meine Systeme einzudrinngen?


    Was die Absicherung Firewall angeht ist halt eine FritzBox auf der Port 21 freigeschaltet ist
    und dann auf die lokale IP vom NAS zeigt!


    Ich hab den dyndns Domain nun durch einen Subdomain eines bei Strato gehosteten Domains getauscht,
    da ich mir dachte, dass dies wahrscheinlich eine geringere Angriffsfläche bietet als die xxxxx.dndns.org Subdomains...


    Wie sinvoll ist dieses Konzept ist die Firewall einer FritzBox in Ordnung?


    Was könnte man noch für Sicherheitskonzepte benützten ohne gleich zusätzliche Sicherheitshardware zu verbauen...?


    ciao
    maxo11

    Zitat von "maxo11"

    Hallo Jody,


    Auch Hallo ;)


    Zitat von "maxo11"

    Danke für die ausführliche Antwort,


    Gern geschehen...


    Zitat von "maxo11"

    Also kann ich davon ausgehen das es den (Kiddies Hackern etc.) in diesem
    Versuch nicht gelungen ist in meine Systeme einzudrinngen?


    Sofern in den Logs keine Zeitsprünge drin sind, ist zumindest die wahrscheinlichkeit geringer...
    100% Ausschließen lässt sich das jedoch nur mit recht hohem Aufwand (Siehe Sicherheits FAQ)


    Zitat von "maxo11"

    Was die Absicherung Firewall angeht ist halt eine FritzBox auf der Port 21 freigeschaltet ist
    und dann auf die lokale IP vom NAS zeigt!


    Auch hier gilt: jeder geöffneter Port stellt eine potentielle Einbruchstelle dar, insbesondere bei einem unsicheren Protokoll wie FTP, da dort die Zugangsdaten im Klartext übertragen werden....
    Besser -> VPN nutzen, geht auch mit der FBox soweit ich weiß....


    Zitat von "maxo11"

    Ich hab den dyndns Domain nun durch einen Subdomain eines bei Strato gehosteten Domains getauscht,
    da ich mir dachte, dass dies wahrscheinlich eine geringere Angriffsfläche bietet als die xxxxx.dndns.org Subdomains...


    Leider muss ich Dich dahingehend enttäuschen....
    Wenn ich einmal einen "angriffswürdigen" Host gefunden habe, ist es eigentlich egal ob ich den über den einen oder den anderen Namen wiederfinde,
    dass Besorgniserregende ist, das er wiedergefunden werden kann (was ja Sinn und Zweck von DynDNS ist...


    Zitat von "maxo11"

    Wie sinvoll ist dieses Konzept ist die Firewall einer FritzBox in Ordnung?


    Das ist ungefähr genauso sinnvoll wie ein Schild an der Haustür "Hier steht kein Haus!"...
    Jeder kann das Schild sehen und das Haus.... selbst die Rolläden herunterzulassen hilft dabei wenig ;)


    Zitat von "maxo11"

    Was könnte man noch für Sicherheitskonzepte benützten ohne gleich zusätzliche Sicherheitshardware zu verbauen...?


    Tja, erste Regel:
    Befasse Dich mit Netzwerkprotokollen und deren Kommunikationsbeziehungen!
    Anschließend ist ein intensives Studium von IPSec/SSL und sonstigen Mechanismen zum Thema VPN hilfreich.
    Wenn Du dann der Meinung bist, Du hast alles verstanden, setze ein Testsystem auf und mache Dich mit der Materie vertraut, prüfe ob Du die Sicherheit hast, die Du haben möchtest...
    Nun beginne wieder bei Schritt eins!
    Diesen Kreislauf solltest Du mindestens 3mal durchlaufen, bevor Du Deine Systeme in Internet hängst!


    Zweite Regel:
    Bei allen Daten die DU auf diese Weise im Web veröffentlichst, solltest Du Dich schon vorab damit abfinden, dass sie nicht mehr da sind.
    Um so mehr kannst Du Dich dann daran freuen, wenn Du ein (virenfreies!) Backup hast!


    100% Netzwerksicherheit mag es vielleicht von der technischen Seite her geben, aber solange der Mensch da noch Mitspracherecht hat, sind alle Systeme auch angreif- und überwindbar!


    Wer dem Glauben unterliegt, eine Firewall ist ein Stück Hardware und die Komplettlösung für alle Netzwerksicherheitsprobleme, der irrt gewaltig :!:
    Firewalls bestehen aus einem Sicherheitskonzept, festgelegten Regularien, entsprechender Hardware und schlußendlich mindestens einem (oder einer ;) ) die all dies in Summe überwacht...


    Ich will Dir nicht den Mut nehmen, aber meiner Meinung nach solltest Du dies wenigstens berücksichtigen. Die Wahrscheinlichkeit, dass es Profis auf Deine Daten abgesehen haben, ist gering (und falls doch...... :tongue: ) die Script-Kiddies sind in der Regel harmlos und landen allenfalls Zufallstreffer (dennoch sollte man auch diese nicht unterschätzen) Beachte die einfachen Grundregeln in der Sicherheits-FAQ und Du kannst beruhigt schlafen!


    Grüße
    Jody

    Zitat

    Leider muss ich Dich dahingehend enttäuschen....
    Wenn ich einmal einen "angriffswürdigen" Host gefunden habe, ist es eigentlich egal ob ich den über den einen oder den anderen Namen wiederfinde,
    dass Besorgniserregende ist, das er wiedergefunden werden kann (was ja Sinn und Zweck von DynDNS ist...


    die neue Subdomain zeigt allerdings auch auf einen andere IP da ich diese im selben zug geändert habe router neustart... Sprich die alte subdomaing zeigt noch auf die alte ip die neu subdomain auf die neue IP


    ciao
    maxo11

    Hey,


    ich hab mir den Tag über jetzt ein paar Gedanken gemacht ob ich das NAS vielleicht neu aufsetzen soll,
    meint Ihr dies ist den Aufwand wert oder in meinem Fall überflüssig Bzw. zu viel Panik wegen nichts?


    ciao
    maxo11

    Wenn Du Dich danach besser fühlst, solltest Du den Schritt ruhig machen, eine zwingende Notwendigkeit sehe ich jedoch nicht.


    Grüße
    Jody

    Abend Jody,


    danke für die schnelle Antwort. Was mich jetzt unabhängig von meinem Fall noch interessieren würde
    villeicht kannst du mir darauf auch noch eine Antwort geben:


    Sollte ich das NAS lieber über die Weboberfläche oder den Reset Knopf zurücksetzen.
    Kann ich danach sicher sein das, dass System also das OS auf dem NAS quasi clean ist ohne etwaigen Schadcode etc...?


    Die Frage ist jetzt nicht direkt auf meinen Fall bezogen da ich sowas eigentlich ausschließe mich würde nur mal interessieren ob man
    mit einem "Zurücksetzen" per Weboberfläche oder Reset Knopf wirklich auch ein gecleantes NAS OS und saubere Software Twonky, mysql etc.
    erhält, oder dafür andere Wege gegangen werden müssen.


    ciao
    maxo11

    Hallöle,


    wenn Du wirklich sicher gehen willst, dass garantiert kein Schadcode mehr auf der/den Platte(n) ist,
    baust Du sie aus und hängst Sie in einen neuen bzw. virenfreien PC, löscht sämtliche Partitionen
    und lässt ein Cleaning-Tool darüber laufen (http://www.harddriveeraser.org).
    Nach ca. dreitägigem Einsatz des o.a. Programms könntest Du relativ sicher sein, dass keine Schadroutinen mehr auf den Platten sind.


    Für den bekannten Otto Normalverbraucher dürfte die Variante Reset-Knopf bzw Weboberfächen-Reset vollkommen ausreichend sein ;)


    Grüße
    Jody


    PS.: (ich nutze generell das o.a. Programm, insbesondere, wenn meine Festplatten den Eigentümer wechseln sollen ;) )

    Hallo Jody,


    ich hab mein NAS jetzt auf die Werkseinstellungen zurückgesetzt Bzw. stand nach dem Klick auf Werkseinstellungen zurücksetzen
    ständig Auslastung dahinter mit nem schönen Kreis der sich drehte..? :shock:


    Nach einer halben Stunde hab ich das NAS dann ebenfalls per Weboberfläche neu gestartet keine Ahnung was da los war kannst du dir das erklären?
    Nach dem Neustart kann ich jetzt alles mit dem Qnapfinder neu einrichten etc... Ich hoffe da hat sich nichts verbogen ist es normal das da ewig Auslastung steht
    und ich hätte einfach länger warten müssen?


    Ich werde meine Festplatten nun mit Acronis Drive Cleanser in einem einzelnen Durchgang mit Nullen überschreiben so ist etwaiger Schadcode doch auch
    nicht mehr vorhanden? Oder hab ich da einen Denkfehler? Ich will die Platten momentan ja noch nicht verkaufen sondern nur alles einschließlich MBR Nullen da dürfte dieser Schritt doch reichen!?? Bei der Anwendung von Acronis Drive Cleanser oder deinem Tool wird der MBR doch auch überschrieben da alle Sektoren behandelt werden oder?


    Danke für deine Bemühungen


    ciao
    maxo11