Du bist hier: Seitenreport    Forum    Security    Sonstige    Attacker automatisch aussperren?

Attacker automatisch aussperren?

Verfasst am: 21. 01. 2011 [22:01]
lwulfe
Dabei seit: 02.10.2009
Themenersteller

807 Beiträge
Beitrag hilfreich?

Mache mir gerade Gedanken, wie z. B. "ALERT - ASCII-NUL chars not allowed within request variables - dropped variable 'controller' (attacker '123.123.123.123') automatisch aus der Errorlog als "Deny from 123.123.123.123" übernommen werden kann. Das tritt bei mir gerade wieder gehäuft auf, oft mit der gleichen IP. Oder gibt es da schon eine Lösung?
Coaching-Kompass - die intuitive Coach-Suche
Meine Seite
Profil
WWW
 
Verfasst am: 21. 01. 2011 [23:52]
romacron
Dabei seit: 01.11.2009

1143 Beiträge
Beitrag hilfreich?

Hallo Lutz,

Mehrere Stufen sind gut machbar. Gut ist, das es vernünftig dedektiert worden ist noch besser, du hast es gemerkt. 90% merkens nicht. icon_cheesygrin.gif.

1. Stufe, man trackt die ip und schaut nach dem Provider/Hoster und teilt dem das mit. Im Europäischen Raum wird da auch reagiert. Manchmal gibts dafür auch nen "Danke". Viele merken nicht das der Server oder Rechner bereits den Besitzer gewechselt haben.

Je nach system gibt es eine denyhost.* dort die ip eintragen.
Je nach firewall in eine blacklist /dauerblockierend Liste eintragen. Dann ist erstmal Pause-Urlaub.

Fail2ban zwischen zuschalten ist auch ne Prima sache. Sperre auf 10 minuten, dann ist der grösste Teil erledigt.

Profil
 
Verfasst am: 22. 01. 2011 [00:50]
lwulfe
Dabei seit: 02.10.2009
Themenersteller

807 Beiträge
Beitrag hilfreich?

romacron schrieb:

Hallo Lutz,
Mehrere Stufen sind gut machbar. Gut ist, das es vernünftig dedektiert worden ist noch besser, du hast es gemerkt. 90% merkens nicht. icon_cheesygrin.gif.
1. Stufe, man trackt die ip und schaut nach dem Provider/Hoster und teilt dem das mit. Im Europäischen Raum wird da auch reagiert. Manchmal gibts dafür auch nen "Danke". Viele merken nicht das der Server oder Rechner bereits den Besitzer gewechselt haben.
Je nach system gibt es eine denyhost.* dort die ip eintragen.
Je nach firewall in eine blacklist /dauerblockierend Liste eintragen. Dann ist erstmal Pause-Urlaub.
fail2ban zwischen zuschalten ist auch ne Prima sache. Sperre auf 10 minuten, dann ist der grösste Teil erledigt.

OK, die Errorlog zeigt natürlich nur die erfolgreich abgewehrten Attacken. Aber, kleiner Erfolg, zwei von den gesperrten IP´s tauchen jetzt so auf: [client 123.123.123.123] client denied by server configuration
Deiner 1. Stufe werde ich folgen und melden.
Zu denyhost: meine einzige Möglichkeit ist Order Allow,Deny. Das ist wohl das Gleiche?
Auf Firewall habe ich mit Server managed keinen Zugriff, das Gleiche gilt für die Installation von fail2ban.
Was mir vorschwebt, ist grob gesagt ein grep, der ALERT aus der Errorlog holt und die IP an ein Deny from schickt. Nur möglichst nicht manuell. Das könnte man vielleicht mit Scripting und Cron hinbekommen, aber ...

Coaching-Kompass - die intuitive Coach-Suche
Meine Seite
Profil
WWW
 
Verfasst am: 22. 01. 2011 [01:11]
romacron
Dabei seit: 01.11.2009

1143 Beiträge
Beitrag hilfreich?

..okay, du wolltest das mit der .htaccess erledigen?

die denyhost liegt im /etc/* im server-root. (die meinte ich).

Nun ist die Frage was Nervebert auf deinem Server versucht?
Die Ärgernisse so weit oben wie möglich abfangen--> Richtung Firewall

Managed heisst in Deinem Falle, der hoster bietet den Service und hält dein System in Ordnung?

Ich nehme mal an, dass eine virtualiseriungs-lösung bei dir zum Einsatz kommt. Wenn du den "ClientNode" voll zur Verfügung hast, sollte das sicher was zu machen sein.

Wie ich dich kenne wirst auf nem vernünftigen System hosten...
Profil
 




Du bist nicht eingeloggt. Bitte beachte, dass Du eingeloggt sein musst, um Themen zu erstellen oder auf Beiträge zu antworten.

RSS Feed abonnieren

Werde in Echtzeit über neue Foren-Beiträge informiert:


4 Mitglieder waren innerhalb der letzten 15 Minuten online (172 heute gesamt):
aow_abstrakt, darkblackeye, Kristina, Nairolf123

Administratoren und Moderatoren:
[keine]

Seitenreport hat 18155 registrierte Mitglieder, 3004 Themen und 29114 Beiträge.
Der aktuelle Mitgliederzuwachs liegt bei durchschnittlich 13 bestätigten Neuregistrierungen pro Tag.
Pro Tag werden im Seitenreport Forum durchschnittlich 1 neues Thema und 7 Beiträge erstellt.
Die Durchschnittszahlen berechnen sich aus den letzten 7 Tagen.

Schnellzugriff

Hier werben
Partnerprogramm
Premium Pakete
Verlinkung freischalten
Allgemeine Geschäftsbedingungen
Kontakt aufnehmen
Impressum

Mehrfach empfohlen

Seitenreport ist einer der bekanntesten SEO und Website Analyse Dienste im deutschsprachigen Raum und wurde u.a. schon empfohlen:
von Mr. Wong im Wong Letter
vom Leserservice der Deutschen Post
vom Technik Blog SiN
und vielen anderen

Partnerprogramm

12% Lifetime Provision auf alle Buchungen von Dir geworbener Mitglieder sowie 0,50 € für jede Registrierung. Eines der besten deutschen Partnerprogramme laut den appCharts von 100partnerprogramme.de. Nimm jetzt teil am Seitenreport Partnerprogramm und verdiene gutes Geld dabei!

* = Partnerlinks