... und vielleicht sollten Sie mal darüber nachdenken bei Wartungsarbeiten zuvor die betroffenen Platten zu sichern...es ist nämlich ein Schei...gefühl zu wissen wie gleichgültig Sie mit den Daten Ihrer Kunden umgehen
Also wenn ich eine Info über Wartungsarbeiten bekomme, dann mach ich mir vorher selber eine Sicherung der wichtigen Daten. Schiefgehen kann immer etwas, da verlasse ich mich nicht nur auf andere.
Du kannst ja höhere Werte für die Sperr-Dauer verwenden. Ich sperre Angreifer z.B. für 14 Tage, und sperre manche Dienste bereits nach 3 Fehlversuchen. Das macht es selbst für einen Bot unrentabel, wenn er nur 3 Versuche in 14 Tagen hat.
Wenn die Anzahl dieser Angreifer auf deinem Server nicht zu hoch liegt, dann könntest du in der entsprechenden Action-Datei zu dem Dienst auch die Unban-Regel leer lassen. Dann können für den Dienst Sperren gesetzt, aber nicht wieder gelöscht werden (das musst du dann manuell erledigen).
Hab mal die apache-auth.conf für meine Zwecke angepasst :
# Fail2Ban configuration file
#
# Author:
#
# $Revision: $
#
[Definition]
# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "<HOST>" can
# be used for standard IP/hostname matching and is only an alias for
# (?:::f{4,6}:)?(?P<host>[\w\-.^_]+)
# Values: TEXT
#
failregex = [[]client <HOST>[]] Digest: user .* authentication failure
[[]client <HOST>[]] Digest: user .* not found
[[]client <HOST>[]] Digest: user .* password mismatch
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =Scheint zu funktionieren.
Habe jetzt mal .htdigest aktiviert und verwendet. Dabei habe ich ja die Möglichkeit, entweder in dem entsprechenden Pfad eine .htaccess zu erstellen (dann muss ich in der entsprechenden Apache-Config in dem zugehörigen Directory-Eintrag für den zu schützenden Pfad bei dem AllowOverride das "None" auf "AuthConfig" stellen), oder ich kann die Einträge der .htaccess direkt in der Config des Apache vornehmen (<Directory>...</Directory>).
Welche Einstellung ist zu empfehlen? Direktes Eintragen in dem Directory-Eintrag in der Apache-Config, oder nur AllowOverride umstellen und eine .htaccess verwenden?
Ich verwende easySCP, welches nur einen Directoy-Eintrag für den Pfad zu dem Panel, zu PHPmyAdmin, zum Filemanager und für WebMail in der Apache-Config eingerichtet hat. Wenn ich also AllowOverride verändere, so gilt dies für 4 Pfade. Trage ich den Schutz direkt in die Apache-Config ein, dann müsste ich das ja eigentlich auf einen Pfad begrenzen können.
Btw.: hat jemand einen fertigen Filter für das Error-Log vom Apache um die fehlerhaften Logins zu finden? Für meinen letzten Filte habe ich Ewigkeiten benötigt bis der endlich richtig funktioniert hat.
Sollte man besser mit htdigest arbeiten? Oder reicht ein .htaccess?
Sorry, habe gesucht, aber nichts gefunden ....
Gibt es über die Login-Versuche von zu PHPmyAdmin eine LOG-Datei?
Ich möchte gerne mögliche Angreifer, welche mehrfach einen fehlerhaften Login-Versuch vornehmen, über fail2ban sperren.
Habe es so eingestellt:
http://i50.tinypic.com/335a7wz.pngAber die Quell/Ziel-Ports bleiben bei mir ausgegraut
Ist korrekt. Die Regel muss dann VOR deinen anderen Standrad-Regeln stehen.
Habe jetzt das Problem, dass der Server, wenn ich mich mit einem Key authentifiziere, erstmal ca. 1 Minute lädt bis er den Key annimmt.
Wenn ich jedoch die Firewall ausschalte, akzeptiert der Server den Key sofort.
Für den SSH-Zugang verwende ich putty. Das zweite Problem ist, dass ich 'wget' nicht mehr richtig benutzen kann, da ich den genauen Port
nicht habe. Stimmt es, dass 'wget' ftp und http benutzt?Vielen Dank schonmal
Ich denke du hast den Tipp von Track1991 noch nicht befolgt. Bitte stelle noch die erste Standrad-Regel ein, welche dafür sorgt das Antworten auf ausgehenden Verbindungen durchkommen.
Wenn ich nicht falsch liege, dann sind die Ports für folgende Funktionen :
9987 ist der Connection-Port
10011 ist der Query-Port (Server steuern/abfragen)
30033 ist für die Übertragung von Daten (File-Explorer)
Wenn die das Übertragen von Daten nicht zulässt (Rechtesystem), dann kannst du den Port 30033 gesperrt lassen. Soweit ich weiß kannst du dann allerdings auch keine Symbole z.B. für die Benutzerebenen übertragen. Wird der Server nicht von außen abgefragt (z.B. über einen TS3-Viewer), dann kannst du (glaube ich) auch den Port 10011 gesperrt lassen.
Wenn man sich das hinterher mal genau anschaut, dann steht ein Hinweis ja sogar in der Fehlermeldung. Haben wir wohl schön übersehen.
Ok, danke.
Dann versuche ich mal das Formular was ich in einem PHP Kurs gelernt habe. Vielleicht klappt das dann besser.
Stelle doch das Script hier vor. Es gibt in diesem Forum pfiffige Gesellen die sich das sicherlich ansehen und dich beraten können.
Außerdem ist es nur eine Frage der Zeit bis das zu Problemen führt. Web- und Gameserver schmeißt man einfach nicht zusammen.
Also bisher hatte ich keinerlei Probleme damit.
Also das Thema wurde schon einige Male in diesem Forum behandelt .... du musst den Server an eine IP binden! In deinem Log erscheinen noch IP's 0.0.0.0
*** EDIT ***
Hups ... Dragon hat schneller getippt als ich.
Ich bin am überlegen auf meinem Server (es läuft derzeit nur 1 Domain, ist also noch günstig wenn man etwas ändern will) von ispcp auf easyscp zu migrieren. Laut der Anleitung in deren FAQs ist dies ja scheinbar nicht weiter schwierig.
Hat dies schon einmal jemand gemacht?
Ist easyscp empfehlenswert, oder ist evtl sogar jemand ganz anderer Meinung und würde eher abraten?
Im Grossen und Ganzen sieht easyscp ja aus wie ispcp (ist ja auch ein Fork oder sogar ein Fork vom Fork), die Umstellung sollte einem also einfach fallen. Der Fork wird auch noch regelmäßig mit Updates versorgt, was bei ispcp nicht gerade zu behaupten ist.
Möchte nur mal kurz auf Stimmenfang gehen, um mir ggf. unnötige Arbeit zu sparen.
*** EDIT ***
Habe gerade gesehen .... vielleicht wäre auch i-mscp eine Alternative. Scheint sich auch gut migrieren zu lassen und hat wohl ein paar nette Features.
Das müssten die Standard-Einträge (postmaster, abuse und webmaster) sein. Diese sind per RFC quasi "Pflicht".
Hmmm, gibt es sowas wie "Pflichtadressen"? Die auch wirklich verpflichtend sind?
Nettes Feature, aber nach der Anzeige müsste mein Server vom Speicher auf Anschlag laufen.
Hatte ja geschrieben, dass ich nicht die wahrheit gemietet habe. Von daher komm ich damit klar, wenn du mich korrigierst und ich noch was lerne
Ja, zum Lernen ist solch ein Forum ja da. Ich lese hier auch viel und schreibe eher wenig (oder nur allgemeine Dinge), da ich im Bereich Linux nur seeehr viel zu lernen habe.
Möglich ist so etwas immer. Kritisch wird es eigentlich nur, wenn die Domain einem Markennamen oder allgemein bekannten Namen einer Firma (z.B. von einer Firma die den Familiennamen trägt) entspricht. Da könnte man leer ausgehen. Oder halt, als Beispiel, wenn in deinem Ort eine neue Firma eröffnet, und du just nach Bekanntwerden schnell mal deren Namen reservierst, ohne etwas mit dem Namen zu tun zu haben (kein wirtschaftliches Interesse zu verfolgen, außer dem offensichtlichen Handel mit der Domain). Im letzteren Fall kann eine Entscheidung in beide Richtungen kippen (gütliche Einigung oder doch eine sich lohnende Ablösesumme).
Aber wie Mainboarder schon geschrieben hat, es kann dir keiner eine richtige Aussage dazu treffen. Das verhandeln im Zweifelsfall die Anwälte. Es kommt halt auch immer darauf an wer der Antragsteller auf Herausgabe der Domain ist.
Probleme kann es durchaus bei Markennamen oder Namen von bekannten Firmen geben (auch wenn dies mittlerweile schwierig ist, da inzwischen eigentlich alle grossen Firmen ihre Domains registriert haben). Registriert man eine Domain mit dem Namen einer grossen/bekannten Firma, z.B. ferrari.de, ohne einen Bezug dazu zu haben, dann könnte man u.U. gerichtlich zu der Freigabe der Domain verdonnert werden, dies sogar ggf. kostenlos (ist vor vielen Jahren vielen Domain-Hamstern so passiert). Heisst man allerdings z.B. Lola Ferrari, und hat Inhalte hinterlegt (so das nachgewiesen werden kann das die Domain genutzt wird), dann könnte man einen Streit gewinnen. Es gab vor vielen Jahren auch einen Fall (ich erinnere mich nicht mehr an den Namen), da hat jemand seinen Nachnamen registriert, der genauso heißt wie der einer bekannten Firma. Dort war nur ein Steckbrief des betreffenden hinterlegt. In diesem Fall hat das Gericht (die Firma hat auf Herausgabe der Domain geklagt) entschieden der Inhaber der Domain solle sich gütlich mit der Firma einigen aber in jedem Fall die Domain herausgeben.
Auch wenn solche Fälle Jahrelang zurückliegen, so glaube ich doch das ein solcher Fall (theoretisch) immer noch möglich wäre. Es kommt wohl im Zweifelsfall darauf an, welchen Namen/welche Domain du registriert hast und wer daran Interesse hat. Von illegal würde ich aber nicht sprechen, du kannst halt nur Pech haben das "ein grosser" sein Interesse bekundigt und du einen Streit verlierst.
Ich glaube nicht, dass das irgendwas mit Joomla zu tun gehabt hat...
Warum sollte es nicht damit zu tun gehabt haben? Ich finde die Wahrscheinlichkeit ist doch gegeben, auch wenn dies schon ein Zufall wäre das in dem gegebenen Zeitfenster jemand die nicht abgeschlossene Installation findet, aber das kommt halt vor (außerdem ist uns das Zeitfenster nicht bekannt da es nicht näher benannt wurde). Die Installation ist schnell ausgeführt, und soweit ich weiß je nach Konfiguration des Servers auch mit einer externen Datenbank möglich. Dann schnell ein ein Script in Joomla importiert und es kann losgehen. RuckZuck hat man über Joomla auch FTP-Zugang (dieser sollte sich aber auf die Domain beschränken).
droelfvonelf
Du solltest dir, wie von Killerbees empfohlen, erst einmal alle Daten sichern/herunterladen. Überlege genau welche Dienste auf deinem Server laufen, da nicht alle ihre Log-Dateien in /var/log sichern (z.B. TS3). Gehe dann zumindest sämtliche Log-Dateien durch und suche nach Login-Versuchen oder unbekannten Usern. Teilweise ist diese Aufgabe (z.B. bei sehr großen Logs) direkt auf dem Server mit "grep" besser zu bewerkstelligen (falls dein Heimsystem kein Linux ist). Ich habe mir für solche Aufgaben extra ein Linux in einer virtuellen Umgebung eingerichtet, da ich als Heimsystem auch Windows habe.
Welche Dienste laufen denn noch auf deinem Server? Ist womöglich auch ein CoD4-Server dabei? Ein Bekannter hatte auch ein Problem mit CoD4-Servern und ausgehenden Dos-Attacken (die kamen definitiv von den CoD4-Servern). Hierfür gibt es einen letzten Patch und man muss noch ein paar DVars in der Config vom Server setzen.
