Monitoring von Netzwerkaktivitäten (bzgl. Hacker und "Anomalien")

[BridaX]

Hallo,

ich suche ein Programm, das Annomalien im Netzwerk anzeigen soll, sprich ob von außen auf das System zugegriffen wird, welches Programm Datenpacke empfängt und rausschickt (sollte detailierter sein als im Taskmanager) und am besten noch die IP Adressen etc. anzeigt oder sogar Bans verübt gegen zuvor eingerichtete Richtlinien-Verstöße...

Der Grund ist folgender, dass gestern via RDP versucht wurde auf unseren Server zuzugreifen...
Scheint aus dem Raum China gewesen zu sein.

Firewalls und Antivirenprogramme stehen soweit, es fehlt nun nurnoch ein gescheites Tool für's Monitoring.

Könnt ihr vielleicht etwas empfehlen?


Liebe Grüße

 

[CmdSec]

Kali Linux -> https://www.kali.org/

 

[IndianaX]

Was du suchst nennt sich IDS, ich kenn aber nur das für Linux.

 

[Masamune2]

Snort wäre wohl das bekannteste IDS. Das ist aber nichts was man mal eben aufsetzt, da gehört schon ein Minimum an Know-How dazu.

Am einfachsten gehts wohl wie schon empfohlen mit Kali Linux, das bringt alles mit.

 

[BridaX]

Es handelt sich um einen Widows Server.
Danke schonmal für das Stichwort IDS und die Vorschläge!

 

[Marguth]

Hallo,
Der Grund ist folgender, dass gestern via RDP versucht wurde auf unseren Server zuzugreifen...
Scheint aus dem Raum China gewesen zu sein.

Dein sicherheitsbewusstsein in allen ehren.
Aber deswegen würde ich mir nicht nen großen Kopf machen.
Die Chinabots klingeln fast überall per RDP mal an
Grund zur Beunruhigung ist das nur wenn ein Account mit passwort 12345, test, admin, gast hast.

 

[c0mp4ct]

Hallo Bridax,
das beschriebene Szenario deutet für mich auf fehlende Sicherheitskonzepte hin. Inwieweit sind dir Begriffe wie VPN, DMZ, Jumphost, Firewall und IDS ein Begriff? Kali Linux ist ein "Penetration Testing System" um Sicherheitslücken in genannten Sicherheitskonzepten festzustellen. In welcher Art und Weise dieses dabei helfen soll, die vorhandenen Lücken in eurem Netzwerk zu schließen erschließt sich mir nicht.

Um ungewollten Zugriff auf Server zu vermeiden, welche sich anscheinend aus dem Internet erreichen lassen, ist der einfachste Weg eine Firewall. Nachdem vor kurzem bekannt geben wurde, dass Monowall eingestellt wird, würde ich zum Fork namens OPNSense raten.

OPNsense is an open source,
easy-to-use and easy-to-build FreeBSD based firewall and routing platform.

Die Konfiguration ist mittels eines Webinterfaces möglich und umfasst deinen geforderten Funktionsumfang.
Alternativ kann auch pfSense eingesetzt werden.
Diese Lösung erfordert eigenständige Hardware.

 

[Klonky]

Alternativ könnte auch eine Sophos UTM dein Ziel sein (Basiert auf Linux, aber komplettes Webinterface mit Support von Sophos / Dienstleister). Also steht nicht alleine beim einrichten da.

 

[racer320kmh]

Du könntest auch einfach eine IP-Sperre einrichten oder bestimmte Länder blockieren.