Log der Hostname-Änderungen?

    Hallo,

    ich bin aus dem Ausland zurückgekehrt und mir ist aufgefallen, dass einer meiner Server plötzlich einen neuen Hostnamen im CCP besitzt.

    Den Suffix *.hotsrv.de habe ich niemals vergeben. Allerdings habe ich über andere Forendiskussionen gesehen, dass Kunden diesen Suffix nutzen.

    Das sieht fast so aus, als wäre jemand auf dem Server gewesen und hätte danach öffentlich zugängliche Informationen verwendet, um den Suffix wiederherzustellen.

    Die Frage ist daher, wo kommt dieser Suffix her? Gab es eine unangekündigte Wartung? Wurde mein Zugang manipuliert? Wurde mein Laptop samt Keepass aufgebrochen?

    Auf einem meiner Backup-Systeme habe ich auch mir unbekannte Daten entdeckt (AES verschlüsselt, > 100 GB; ungeöffnet gelöscht). Sofern der Suffix bei der Übertragung mitgegeben wird, wäre es eine elegante Verschleierungstaktik. (ich bin kein Netzwerkprofi)

    Ich freue mich über Hinweise. Vielleicht ist das alles nur Zufall, aber in letzter Zeit scheinen die sich zu häufen.

    Das mag der ursprüngliche Hostname deines Servers sein, der aus welchem Grund auch immer zurückgesetzt wurde. Hatte ich auch mal, da betraf es allerdings nur die Reverse-DNS Einträge für die IPv4 und IPv6, was aber trotzdem für einen Mailserver ziemlich fatal ist, weil er damit nimmer viel zugestellt bekommt. Ist aber bei mir seitdem nicht mehr passiert. Der eigentliche Hostname des Servers war allerdings immer noch der selbe, den ich ihm gegeben hatte.

    Der spontane Gedanke war, es gab eine fehlerhafte Zurücksetzung irgendwo durch einen Praktikanten. Wie hätte ich mir diesen Suffix ausdenken können?

    Die paranoide Gedanke war, was wenn jemand einen Keylogger in meinem Notebook platziert hat und mir etwas unterjubeln möchte?

    Über eine Google-Recherche kam ich zum Schluss, dass diese Domain für geparkte Domains bei Netcup verwendet wird. Vielleicht gibt es einen Bug zwischen Serveradministration und der Domainparking-Applikation. Andererseits wäre diese Domain für einen Angreifer sehr billig ausfindbar zu machen.

    Oder es wird Zeit für einen Urlaub und einen anschließenden Branchenwechsel. Vor einigen Jahren hätte ich solchen Gedanken keine Chance gegeben.

    Zitat von tab

    Das mag der ursprüngliche Hostname deines Servers sein, der aus welchem Grund auch immer zurückgesetzt wurde. Hatte ich auch mal, da betraf es allerdings nur die Reverse-DNS Einträge für die IPv4 und IPv6, was aber trotzdem für einen Mailserver ziemlich fatal ist, weil er damit nimmer viel zugestellt bekommt. Ist aber bei mir seitdem nicht mehr passiert. Der eigentliche Hostname des Servers war allerdings immer noch der selbe, den ich ihm gegeben hatte.

    Hatte ich auch mal, erst ein paar Monate her...

    Der IPv4 rDNS war noch okay, meine beiden IPv6 rDNS Einträge aber sang- und klanglos gelöscht!

    Bei mir läuft auch ein Mailrelay, und ich habe ewig gesucht ... Fehlerbild war, dass einge Empfänger, die auf IPv6 laufen (z.B. gmail) meine e-mails als Spam markiert haben, bei den meisten, die mit IPv4 only laufen war alles wie immer :-/

    Zitat von Schupp

    Stimmt die Nummer von ******.hotsrv.de mit der Servernummer im scp überein?

    Das wird nicht ausgedacht, jeder Server hat so eine Domain nach der ersten Einrichtung..

    Davon gibt es noch mehrere.. Megasrv.de, Supersrv.de oder so....

    nur läuft mein Server schon seit ein paar Jahren.

    Andererseits, da über den Hostnamen auch Email-Spamrichtlinien laufen, konnte keine Email sich als authentisch ausgeben, egal ob von meinem Server oder von fremden Diensten. Wäre also einer meiner Email-Accounts gehackt worden, wären die Emails nicht authentisch und als Spam eingestuft worden. Vorausgesetzt der Admin des Empfängerservers hat nicht fahrlässig gehandelt.

    Aber woher die verschlüsselten Archive stammen, bleibt ungeklärt. Vor allem sind die größer als alle Kundenprojekte zusammengerechnet.

    Sofern es einen Angriff auf mich gab und es kein Fehlalarm ist:

    * war er vermutlich nicht über den server organisiert oder es wurde verwischt

    * das Ordnerschema weicht von meiner Ordnerhierarchie ab

    * Zum Glück war es ein Cloud-Backup. Von einem Home-Server ginge da mehr Gefahr aus.

    Der Server ist / war EOL. Im Mai waren bereits alle Kunden auf einem neuen Server untergebracht, die Datenmenge des Rests war winzig. Korrekterweise hätte es umgekehrt sein müssen: Backups von April groß, Backups von Mai winzig. Aber die vorgefundene Situation war umgekehrt: Die Größe wuchs weiter an und war im August riesig. Ein rekursives Backup, welches sich selbst nochmal packt, schließe ich spontan aus. Alle genannten Punkte bis auf diesen könnten persönliche Tollpatschigkeit gewesen sein, aber die Größenanomalie ist merkwürdig.

    Zum Glück ist nichts passiert. In Zukunft sichere ich starr nach Pull-Prinzip auf meinem Desktop. Der Server wird abgeschaltet, die Backup-Lösung ist bereits gekündigt und gelöscht.

    Alle Kunden habe ich nun umgelagert und Emails werden zukünftig bei Emailprovidern gelagert. Das Klumpenrisiko muss weg. Beim neuen Webserver werden alle Email-Ports geschlossen.

    Du kannst im Log gucken wann im SCP der Hostname gesetzt wurde und zu was.

    Geh zu dem Server, wähke den Protokolle Reiter.

    Da steht es, hab es gerade getestet.

    Kann nur, aufgrund von Smartphone, gerade keine schöne Klickstrecke erstellen