作者allyourshit (都你的大便)
看板Linux
标题Re: [问题] SMTP 攻击防御询问
时间Sun Jul 19 01:30:09 2020
※ 引述《ddjack (CKK)》之铭言:
: 公司的MAIL Server是CentOS 平台然後安装外购的MAIL SEVER运作
: 前阵子发现常常有外部IP使用SMTP在尝试登入公司某些主管的帐号
: 後来使用FAIL2BAN终於减少这样的状况
: 但是骇客的攻击也越来越高明
: 本来类似一小时测试10几次
: 我用FAIL2BAN 设定 10分钟登3次就BAN IP
: 他就会进化成 30分钟登三次
: 有时候我也看LOG 把一些零星的攻击IP都BAN掉
: 结果最近这种攻击开始出现最新的进化
: 虽然他目前是都登入一个公司不存在的帐号
: 然後每格大约10分钟
: 但是他现在的IP都是非常不固定而且每个IP就只有尝试登入一次就更换IP
: 想请问这样的攻击模式有阻挡的可能吗
: 我看IPTABLES 设定只能设定IP的范围好像不能挡住某些帐号的登入
这个喔,我自己架来玩的小mail server也有遇到SMTP攻击的状况
fail2ban其实还是太温和了
ban完一段时间就会放出来
所以直接用firewall锁IP更好用
我不是一个一个IP锁
先查攻击来源的IP在哪一国
很少是台湾本土IP来攻击的
欧洲俄罗斯跟中国才是大宗来源
如果你的公司跟这些国家没有来往
其实直接ban整个IPS区段很好用
x.x.x.0/24 或x.x.0.0/16 直接ban一个c段或b段ip range
然後你就会觉得世界整个清静下来了
XDDDDD
我是很希望能有方便速查的各国IP区段范围啦
一堆垃圾国家根本不可能往来的直接BAN掉
报案根本没屁用,台湾警察又管不到国外
来源我查过有荷兰,俄罗斯,土耳其,罗马尼亚,中国....
直接大区块BAN掉才没烦恼
一个一个IP慢慢处理,哪来的美国时间跟性命啊
攻击IP虽然不固定,可是几乎都在同个subnet底下
毕竟一直换IP攻击也是需要成本的
大多数都是在同一个class c subnet之内
偶而看到class b subnet的,但很少见
ban掉这些拉机IP区段很好用
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.133.51.88 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Linux/M.1595093411.A.A78.html
1F:推 v420746k: 推~ 直接把一个区ban掉会清净很多 07/19 11:24
2F:→ bitlife: 小公司报案确实没用,大型单位才会有美台情报合作处理 07/20 09:16
3F:推 chang0206: fail2ban 可以设定永久阻挡呀 锁IP区段对个人用户或许 07/20 09:39
4F:→ chang0206: 有用,对公司户来说风险太大 07/20 09:39
5F:推 pizzahut: GeoIP应该可以用? 07/21 00:51
6F:推 chang0206: 可以设定ssh 去参考geoip 07/21 10:36
7F:推 junorn: 24还行16不敢用冏 07/23 10:27
8F:→ newversion: 除非你员工都在国内 不出国 07/23 11:06
9F:推 kattte: 报案不是用来跟高层交代用的吗XD 不然上级整天钉很烦人 08/01 22:33