Я использую небольшой (на базе Windows) сервер. Когда я проверяю логи, я вижу постоянный поток (неуспешных) попыток взлома паролей. Должен ли я попытаться сообщить об этих попытках владельцам исходных IP-адресов, или эти попытки в настоящее время считаются абсолютно нормальными, и никто не будет беспокоиться о них?
Ответы:
Хотя ответ может сильно зависеть от агентства, которое вы пытаетесь сообщить, я считаю, что в целом вы должны. На самом деле, поскольку мониторинг и реагирование на почтовый ящик для злоупотреблений в нашей организации является одной из моих основных рабочих обязанностей, я могу с уверенностью сказать: «Да, пожалуйста!». У меня был тот же самый разговор с членами других организаций безопасности, и ответы, казалось, в основном состояли из:
Я, конечно, не буду говорить вам , чтобы следовать этим правилам, но я бы рекомендовал заблудших на стороне отчетности. Обычно это не требует больших усилий и может реально помочь ребятам на другом конце. Их аргументация заключалась в том, что интернет-провайдеры не всегда могут принимать значимые меры, поэтому они будут хранить информацию. Могу сказать, что мы будем настойчиво заниматься этим вопросом. Мы не ценим взломанные машины в нашей сети, поскольку они имеют тенденцию к распространению.
Реальный трюк состоит в том, чтобы формализовать ваш ответ и процедуру отчетности, чтобы она могла быть согласованной между отчетами, а также между сотрудниками. Мы хотим, как минимум, следующее:
Если вы также можете включить образец сообщений журнала, которые предупредили вас, это также может быть полезно.
Обычно, когда мы видим такое поведение, мы также устанавливаем блоки межсетевого экрана с наиболее подходящей областью действия в наиболее подходящем месте. Соответствующие определения будут в значительной степени зависеть от того, что происходит, в каком бизнесе вы находитесь, и как выглядит ваша инфраструктура. Он может варьироваться от блокирования одного атакующего IP на хосте, вплоть до того, чтобы не маршрутизировать этот ASN на границе.
Как сказал Lynxman, все, что вы на самом деле можете сделать, - это связаться с их отделом по борьбе со злоупотреблениями интернет-провайдеров и сообщить им Я бы заблокировал этот IP как в брандмауэре, так и на сервере. Во-вторых, я бы также настроил блокировку на основе попыток в групповой политике (если у вас AD). Пока ваши пароли надежны, я бы об этом не беспокоился, у меня есть серверы, которые я запускаю для изучения, и я получаю попытки входа в систему весь день.
К сожалению, это совершенно нормально, большинство этих попыток генерируются и другими взломанными серверами.
Лучшее, что вы можете сделать, это то, что, если вы видите, что эти атаки постоянно происходят с уникального IP-адреса, и у вас есть подозрение, что сервер был взломан, это отправить по электронной почте сообщения о злоупотреблениях / sysadmins на этом сервере, чтобы они могли исправить ситуацию, проиграть довольно легко. отслеживать сервер, когда вы перегружены, и поддерживать сотни из них.
В любом другом случае брандмауэр, фильтрация или игнорирование - это в основном хорошая практика.
Ваша проблема здесь заключается в том, что огромное количество таких устройств, вероятно, происходит от скомпрометированных компьютеров в разных странах, которые, вероятно, являются компьютерами домашних пользователей и, вероятно, используют схемы динамической адресации.
Это означает, что владельцы компьютеров не знают, что они пересылают атаки, и им все равно, они могут быть в тех странах, где закон действительно не волнует, и ISP, вероятно, не волнует и в любом случае выиграл не хочу просматривать журналы, чтобы увидеть, кто использовал этот IP-адрес.
Лучший план - это комбинация lynxman, Jacob и packs - обычно их блокируют, но настраивают сценарий, чтобы увидеть, есть ли общие преступники, и, в частности, отправляют ваши сообщения в отделы злоупотреблений этих интернет-провайдеров.
Лучше использовать свое время таким образом.