BruteForce auf NAS?

[El_Chapo]

Hallo, ich weiss nicht woher das kommt aber es sieht nach Brute Force Attack aus.



Was kann ich dagegen machen? Ich habe nun SSH auf der NAS deaktiviert und Port 22 in meiner Fritzbox rausgetan.

 

[error]

Ja, das ist ein Bruteforce-Angriff.

Jegliche aus dem Inetrnet erreichbare Dienste sollten nicht auf den Standartports laufen. Zudem sollte ein Anmeldelimit eingerichtet werden, das ab X falschen versuchen die IP für X Stunden sperrt.

 

[iSource]

Ich habe nun SSH auf der NAS deaktiviert und Port 22 in meiner Fritzbox rausgetan.

Genau das kannst du dagegen tun. Ist "normal". Wieso ist der Port überhaupt offen gewesen? Schon mal über VPN als Alternative nachgedacht?

Und auch andere Ports als die Standardports zu verwenden und für's WAN zu öffnen ist keine gute Idee.

 

[El_Chapo]

Ich habe gestern ein paar versuche gestartet per ftps auf meine NAS zuzugreifen... habe das jetzt mit dyndns und port 1443 gelöst. sollte sicher genug sein.

 

[leipziger1979]

Du hast allen ernstes SSH auf Port 22 aufgemacht ?
Da brauchst dich nicht wundern.
Wenn man Ports für Dienste öffnet die man übers Internet erreichen will sollte man immer den Port ändern!
Intern kann der ja mit dem Port laufen aber wenigstens dann sollte man eine Portumleitung nutzen.

 

[DeusoftheWired]

Ports > 50000 benutzen
fail2ban benutzen
Passwort-Login deaktivieren, ausschließlich Login mit Zertifikat erlauben
root-Login über ssh deaktivieren

 

[El_Chapo]

darf ich fragen weshalb man ports über 50000 nehmen soll?

 

[chrigu]

weil die meisten port-bots diese ports nicht abgrasen... respektive es für die häcker zu langwierig wird, auf allen ports zu klingeln..

 

[DeusoftheWired]

100 Punkte im praktischen Teil!

Für den akademischen Part: Ports sind nur bis zur 1023 von der IANA standardisiert und bis zur 49151 registriert. Zwischen 49152 und 65535 kann man schalten, wie man lustig ist.

https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.txt

 

[Raijin]

Den Port ändern ist zwar in der Theorie gut, in der Praxis aber nur bedingt. Security by obscurity. Ok, die 08/15 Angriffe per Wörterbuchattacke gehen zurück. Mit starkem Passwort und Sicherheitsskripten wie das oben genannte fail2ban oder auch denyhosts, erschlägt man diese Angriffe aber sowieso, weil die gängigen Attacken zB admin/admin und ähnlich dämliche Logins abfragen.

Ändert man den SSH-Port, könnte man aber geneigt sein, das "schön einfache Passwort, das ich mir super merken kann - 123456" beizubehalten, "weil ja sowieso keiner auf Port 56352 anklopft". Da darf man aber keinen Fehler machen. Sobald jemand - aus welchen Gründen auch immer - einen kompletten Portscan macht, findet er den SSH-Port relativ simpel und dann greift im obigen Beispiel der gefühlt 2. Loginversuch.

Ein starkes Passwort ist also das A und O.

Den Port ändern ist bestenfalls Vernebelungstaktik. Darüberhinaus kann das Ändern des SSH-Ports bzw. generell eines Systemports (<1024) ungeahnte Nebeneffekte haben. Wenn ein Dienst einen Port öffnen will, benötigt er für die Systemports Adminrechte, für Ports >1024 dagegen nicht. Heißt: Im worst case kann Malware munter den 5xxxxer Port öffnen und so tun als wäre es ein SSH-Dienst und fröhlich deine Daten abfangen. Man kann sich also beim Zugriff auf den vermeintlichen SSH-Dienst nicht sicher sein, dass der "echt" ist. Zudem setzen einige Anwendungen den SSH-Port auf 22 voraus.

Wirkungsvoller wäre ein Portknock.

Hier ein interessanter Artikel zum Ändern des Ports.