Anmelden mit
Registrieren | Anmelden

Suche abusescript für meinen debianserver

Letzte Antwort: in Linux / Free BSD

Als ich nach dem Testbetrieb von ~ 1 Tag in meine hosts.deny (fail2ban) geschaut habe, waren schon 10 Adressen wegen Bruteforce auf mein SSH gebannt. Ein paar aus Asien, ein paar aus den US und so fort.

Ich hätte gern ein script, welches mir eine gebannte Ip auf whois nachschaut, die abusemail raussucht und die Uhrzeit im log auch raussucht.
Diese Infos sollen dann in eine txt gedrückt werden, die ich mir per samba dann ziehen kann.

Da ich noch keine eigenen shellscripts programmieren kann wäre es nicht schlecht solch ein script zur Hand zu haben.
Zum selbst whois-suchen etc. bin ich zu faul ^^


Mehr über : suche abusescript fur debianserver

Werbung stört? Dann Mitgliedskonto eröffnen

Heute habe ich die Verwendung von Zertifikaten auch von einem Klassenkameraden empfohlen bekommen- der Port ist schon ein anderer.
Es ist schon krass wie viel die Netze nach Schwachstellen abgescant werden ( es war relativ häufig)
Bei einem Artikel auf heise (Angriffe auf ssh abwehren) wurde fail2ban empfohlen. Es hat ein autoabusescript integriert, welches man auf Wunsch mitlaufen lassen kann.
Wenn man ein ganz frecher wäre, könnte man sogar einen Steuerungsbefehl an sein botnetz senden und dem Übeltäter die Leitung zuschippen bis seine Leitung zu ist :D 


ka0t sagte:
Wenn man ein ganz frecher wäre, könnte man sogar einen Steuerungsbefehl an sein botnetz senden und dem Übeltäter die Leitung zuschippen bis seine Leitung zu ist :D 
Wenn die Angriffe auf Deinen Server ebenfalls über Botnetze und/oder andere gekaperte Server erfolgten, dann schippst den falschen zu.

Wer hackt schon von seiner IP andere Rechner? Das erste was man tun würde ist dritte zwischenschalten um die eigenen Spuren zu verwischen. Somit stellt sich die generelle Frage welchen Erfolg Deine automatisierten Abuse Mails dann haben.

Die Provider, können dann aber anhand der Abuse-Meldung den Kunden informieren, das sein PC infiziert ist und das der Kunde diesen säubern soll. Zudem hat der Angreifer dann einen Bot weniger mit dem er Schaden anrichten kann :-) .

Über http://www.blocklist.de/de/ kann man z.B. seine Angriffe von Fail2Ban automatisiert an die entsprechenden Abuse-Abteilungen versenden lassen (diese werden auch bei weiteren Angriffe von der gleichen IP dann nicht zugemüllt).

Bei fail2ban ist eins drin- vor fail2ban will ich dennoch eine kleine Warnung aussprechen.
Ich habe mich jetzt 2 mal ausgesperrt, weil der server noch am hochstarten und der ssh- Dienst nicht vollständig geladen war. Ergebnis: Die SSH-Verbindung schlägt fehl und fail2ban kommt auf den Plan. Ergo ist man mit der verwendeten IP "ausgesperrt" und muss sich eine neue vergeben (lassen) /mit einem anderen Pc dran oder eine feste IP in die Ausnahmen einfügen.

Bei Fail2Ban, kann man in den Filter-Dateien aus z.B.:
/etc/fail2ban/filter.d/sshd.conf
mit:
ignoreregex = ^%(__prefix_line)s.*Username2.*\s$

Zum Beispiel sagen, das Fail2ban alle Treffer mit "Username2" ignorieren soll. Dann wirst du nicht mehr ausgesperrt.
Werbung stört? Dann Mitgliedskonto eröffnen

Neues Thema