komische Aktivitäten in den mail logs

    Hallo liebe Community,


    wie der Titel schon besagt, gibt es komische Aktivitäten in den mail logs.


    um es verständlicher zu machen erkläre ich es euch mal genauer.

    also ich habe was versucht auf meinem vserver zu installieren, hat nicht ganz geklappt, lange rede, kurzer sinn, musste den vserver neu aufsetzen.

    dabei habe ich debian jessie mit froxlor genommen und der mailserver war auch schon fertig eingerichtet.


    vor der neuinstallation hatte ich diese aktivitäten auch schon festgestellt.

    nun habe ich jetzt gerade mal wieder reingeschaut, und durfte feststellen, dass in der mail.log und mail.info schon über 10000 einträge sind, in der mail.warn über 3000 einträge.

    der vserver ist aber gerade erst seit Sep 23 15:55:44 wieder online.


    hier mal ein auszug:


    wie ihr sehen könnt, der server ist nicht mal 5 minuten online... und hochgeladen an webseiten inhalt hatte ich bis dahin auch noch gar nichts.

    ich geh jetzt mal plump davon aus, das da was spam mäßiges unterwegs ist, meine frage dazu ist aber jetzt:


    wo? und wie?


    auf vielen seite die mein kunde betreibt, gibt es nicht mal seiten mit php, nur reine html seiten, und auch kein kontaktformular.


    wenn das spam sein sollte, wie kann man da entgegenwirken? irgendjemand eine idee?


    danke.


    gruß mozi

    Das sieht für mich nach dem normalen "Rauschen" aus, was du hast, wenn du einen Server im Internet hast. Es wird halt versucht auf den Mailserver einzuloggen, was jedoch auf Grund der Einstellungen nicht klappt. Dies hat auch nichts mit den Inhalten deines Kunden zu tun.

    Ich würde dir raten Fail2Ban zu installieren, damit nach einigen Fehlversuchen die IP des Angreifers für einige Zeit gesperrt wird.

    Hay,


    und um es einfach zu machen, falls nicht automatisch mitinstalliert, mit diesem fail2ban Filterstring bekommst Du die obigen IPs gebannt:


    Code
    failregex = ^%(__prefix_line)swarning: [-._\w]+\[<HOST>\]: SASL ((?i)LOGIN|PLAIN |(?:CRAM|DIGEST)-MD5) authentication failed(:[ A-Za-z0-9+/:]*={0,2})?\s*$


    Hinweis: Bei einer zusätzlichen iptables-Firewall oder bei iptables-persistent darauf achten, dass nach einem Rechnerneustart alles auch wieder richtig losläd.


    Mit anderen Worten, z.B. iptalbes-persistent vor fail2ban stoppen beim herunterfahren und vor fail2ban starten beim hochfahren. Wenn fail2ban nämlich herunterfährt, werden die zusätzlichen bans aus der iptables entfernt, woraufhin iptables-persistent die zu kleine iptables sichert - und beim Neustart startet fail2ban, läd seine bans, dann kommt iptables-persistent und läd die Einstellungen neu und damit fliegt alles wieder raus, was fail2ban schon gestartet hat.


    CU, Peter

    Peter Kleemann // https://www.pkleemann.de // +49 621 1806222-0 // Kann Programme, Internet, Netzwerke und Telefon.

    Guten Tag,


    noch ein Vorschlag meiner seits:

    Die Felder "actionstart" und "actionstop" in der richtigen Firewall-Action-Konfig anpassen.

    (In meinem Fall: /etc/fail2ban/action.d/iptables-multiport.conf)

    In diesen Feldern stehen die Befehle, die beim start und stop von Fail2Ban ausgeführt werden.



    Mit freundlichen Grüßen,


    Lukas


    Meine (Netcup) Produkte: S 1000 G7, VPS 200 G8 Ostern 2019, IPs, Failover..

    hi lukay.


    was sollte man verändern an der /etc/fail2ban/action.d/iptables-multiport.conf ?


    ich hab kein plan was sie damit meinen... sorry, bin vollleihe! xD könnte sie mir das exact beschreiben, welche configs ich wo ändern muss, bzw. welche befehle in der shell ausgeführt werden sollen? wäre ich ihnen sehr dankbar