Fail2Ban blockt IP-Range 127.0.0.0
- Thread starter AllOnline
- Start date
danton
Debian User
Erst einmal ist das Verhalten von fail2ban soweit korrekt, wenn du eine Regel erstellt hast, die Port 25 für IPs sperrt, die unerlaubt versuchen, über deinen Server zu relayen. Dabei werden auch normalerweise keine IP-Ranges ausgenommen. Also kann ich erst mal kein Problem von fail2ban erkennen.
Aber du dürftest ein ganz anderes Problem haben, nämlich, daß auf deinem Server wohl eine Spamschleuder sitzt, die versucht, über diesen Mails zu versenden. Du solltest also ganz dringend ermitteln, wo diese sitzt, den Übeltäter entfernen und die Lücke suchen und schließen, über die der Übeltäter reingekommen ist.
Aber du dürftest ein ganz anderes Problem haben, nämlich, daß auf deinem Server wohl eine Spamschleuder sitzt, die versucht, über diesen Mails zu versenden. Du solltest also ganz dringend ermitteln, wo diese sitzt, den Übeltäter entfernen und die Lücke suchen und schließen, über die der Übeltäter reingekommen ist.
Das Fail2Ban korrekt arbeitet war mir bewusst, und warum er dann blockt war mir auch klar.
Zweiters macht mir eher sorgen:
Wo am besten anfangen zu suchen?
Macht es Sinn, dies zu deaktivieren, damit andere Mail wenigstens gesendet werden können?
habe erstmal von einem Kunden öfters ein defocus.pl in den Prozessen gefunden.
Datei ansich zwar nicht gefunden trotz locate aber ganzen Benutzer gelöscht!
War ein Drupal System welches nicht mehr benötigt wird.
Leider lässt sich der Prozess trotz root und allem nicht killen :-(
Need help! -> Hab es nun unsabuer geschloßen: signal 9 (SIGKILL)
Zweiters macht mir eher sorgen:
Wo am besten anfangen zu suchen?
Macht es Sinn, dies zu deaktivieren, damit andere Mail wenigstens gesendet werden können?
habe erstmal von einem Kunden öfters ein defocus.pl in den Prozessen gefunden.
Datei ansich zwar nicht gefunden trotz locate aber ganzen Benutzer gelöscht!
War ein Drupal System welches nicht mehr benötigt wird.
Leider lässt sich der Prozess trotz root und allem nicht killen :-(
Need help! -> Hab es nun unsabuer geschloßen: signal 9 (SIGKILL)
Last edited by a moderator:
d4f
Kaffee? Wo?
Meist werden die Dateien geloescht oder umbenannt damit man sie nicht auf der Festplatte finden kann. In aller Regel findest du sie im /tmp/ oder einem entsprechenden Ordner des Benutzers.
Auch das ist typisch fuer boeswillige Software; SIGTERM kann vom Prozess aufgefangen und ignoriert werden, SIGKILL entzieht ihm auf Kernelebene PID, Rechenzeit, RAM und alle Ressourcen => er stirbt.
Meist reicht es schon ab einer gewissen Anzahl von Emails / Kunde / Stunde den Serveradmin automatisiert zu benachrichtigen und bei Ueberschreiten eines weiteren Limits die Email-Zustellung zu blockieren. (Alternativ in near-realtime mit einem Skript analysieren wieviele Emails nicht zugestellt werden konnten und bei Ueberschreitung eines Wertes blockieren) um die meisten missbrauchten Accounts zu blockieren.
Ich empfehle zumindest die Verwendung der GotRoot mod_security delayed Regeln (kostenfrei) um die meisten Angriffe zu blockieren.
d4f
Kaffee? Wo?
Meines Wissens kollidigeren die GotRoot-Regeln nicht mit SVN, nur die Standard-Regeln der mod_security Autoren tun dies. (Diese sind aber auch insgesamt nur mit sehr viel Handarbeit einsetzbar weswegen ich die Atomicorp GotRoot empfohlen habe)
Leider nein. Meine Skripte sind alle exakt auf meine Beduerfnisse zugeschnitten, sie wuerden as-is bei dir schlichtwegs nicht (korrekt) laufen.
Du kannst aber mit sendmailwrapper direkte Aufrufe der sendmail-Binary drosseln und mit folgender Iptables-Regel alle ausgehenden Verbindungen loggen:
Code:
iptables -A OUTPUT -p tcp --dport 25 -j LOG --log-uid --log-prefix "sendmailout: "
Code:
:msg, contains, "sendmailout: " @127.0.0.1:PORT
& ~Auf PORT muss dann natuerlich ein Skript lauschen welcher die UID kontrolliert (wir wollen ja keine System-Prozesse blockieren) und iptables DROP-Regeln bei Ueberschreitung einsetzt sowie die Datenbank des erwaehnten sendmailwrapper mit Daten fuettert.
Danke,
werde gleich erstmal http://www.atomicorp.com/wiki/index.php/Atomic_ModSecurity_Rules folgen.
Den Rest muss ich leider später machen,
da ich mit Scripts leider nicht so weit bin :-/
werde gleich erstmal http://www.atomicorp.com/wiki/index.php/Atomic_ModSecurity_Rules folgen.
Den Rest muss ich leider später machen,
da ich mit Scripts leider nicht so weit bin :-/
d4f
Kaffee? Wo?
Hier ist ein Update/Installationsskript fuer GotRoot Delayed:
Und so sieht meine modsecurity-Config aus:
in /etc/apache2/modsec/00_asl_rbl.conf solltest du bei Bedarf folgende DNSBL's setzen um (einige) offene Proxies, Botnetze und anderen "Dreck" zu blockieren:
Hinweis: Damit bei einem Update ASL nicht die DNSBL-Regeln ueberschreibt solltest du sie mit "chattr +i 00_asl_rbl.conf" read-only setzen. Ein lokaler Resolver-Cache ist hier auch wichtig =)
Code:
#!/bin/bash
echo "Updating..."
/usr/bin/wget -O /tmp/modsec.tar.bz2 http://updates.atomicorp.com/channels/rules/delayed/modsec-2.5-free-latest.tar.bz2
/bin/tar -C /etc/apache2/ -xjvf /tmp/modsec.tar.bz2
/bin/rm -f /tmp/modsec.tar.bz2
echo "Patching status code 502..."
for i in `/bin/ls /etc/apache2/modsec/`; do /bin/sed -i 's/status:403/status:502/g' /etc/apache2/modsec/$i; done
echo "Reloading apache..."
/usr/sbin/apache2ctl graceful
echo "Done!"Und so sieht meine modsecurity-Config aus:
Code:
LoadFile /usr/lib/libxml2.so.2
LoadModule security2_module /usr/lib/apache2/modules/mod_security2.so
SecPcreMatchLimit 150000
SecPcreMatchLimitRecursion 150000
Include /etc/apache2/modsec/10_asl_antimalware.conf
Include /etc/apache2/modsec/10_asl_rules.conf
Include /etc/apache2/modsec/20_asl_useragents.conf
Include /etc/apache2/modsec/30_asl_antispam.conf
Include /etc/apache2/modsec/50_asl_rootkits.conf
Include /etc/apache2/modsec/60_asl_recons.conf
Include /etc/apache2/modsec/99_asl_jitp.conf
Include /etc/apache2/modsec/00_asl_rbl.conf
Include /etc/apache2/modsec/00_asl_zz_strict.conf
Include /etc/apache2/modsec/11_asl_data_loss.conf
Include /etc/apache2/modsec/31_asl_urispam.conf
SecRuleEngine On
SecAuditEngine Off
SecDataDir /var/log/apache2/secdata
SecDebugLog /var/log/apache2/modsec.log
SecDebugLogLevel 3in /etc/apache2/modsec/00_asl_rbl.conf solltest du bei Bedarf folgende DNSBL's setzen um (einige) offene Proxies, Botnetze und anderen "Dreck" zu blockieren:
Code:
SecRule REMOTE_ADDR "@rbl dnsbl.tornevall.org." \
"phase:1,t:none,deny, log, id:350000,rev:2,msg:'Global RBL Match: IP is on the dnsbl.tornevall.org Blacklist (Report False Positives to dnsbl.tornevall.org)',severity:'3'"
#problems.dnsbl deaktiviert durch vermutlich false-positives
SecRule REMOTE_ADDR "@rbl relays.dnsbl.sorbs.net." \
"phase:1,t:none,deny, log, id:350000,rev:2,msg:'Global RBL Match: IP is on the dnsbl.sorbs.net Blacklist (Report False Positives to www.sorbs.net)',severity:'3'"
SecRule REMOTE_ADDR "@rbl rbl.efnetrbl.org." \
"phase:1,t:none,deny, log, id:350000,rev:2,msg:'Global RBL Match: IP is on the rbl.efnetrbl.org Blacklist (Report False Positives to www.efnetrbl.org)',severity:'3'"Danke sehr!
Bekomme leider Fehler:
Dannach habe ich folgendes ausgeführt:
Nun erhalte ich folgenden Fehler:
Bitte um hilfe
Wie prüfe ich ob modsec richtig läuft?
Kannst du mir das Script, mit dem Mail abfangen, noch mal genauer erklären?
Bekomme leider Fehler:
Code:
apache2: Syntax error on line 231 of /etc/apache2/apache2.conf: Syntax error on
line 2 of /etc/apache2/conf.d/00_modsecurity.conf: Cannot load /usr/lib/apache2/
modules/mod_security2.so into server: /usr/lib/apache2/modules/mod_security2.so:
cannot open shared object file: No such file or directory
Action 'configtest' failed.
The Apache error log may have more information.
failed!Dannach habe ich folgendes ausgeführt:
Code:
apt-get install libapache-mod-securityNun erhalte ich folgenden Fehler:
Code:
/etc/init.d/apache2 restart
[Fri Feb 10 14:52:18 2012] [warn] module security2_module is already loaded, skipping
Syntax error on line 34 of /etc/apache2/modsec/00_asl_rbl.conf:
Error creating rule: Could not open phrase file "/etc/asl/whitelist": No such file or directory
Action 'configtest' failed.
The Apache error log may have more information.Bitte um hilfe
Wie prüfe ich ob modsec richtig läuft?
Kannst du mir das Script, mit dem Mail abfangen, noch mal genauer erklären?
Last edited by a moderator:
d4f
Kaffee? Wo?
mod_security kontrolliert standardmaessig nicht die IP-Adresse, auch wenn er sich an DNSBL's anschliessen laesst; der Grund liegt also weniger am WER der Client ist, sondern eher WAS er macht.
Interessant ist die Proxy-Meldung; haengt da ein Proxy dazwischen oder meldet Apache selbst dies?
Interessant ist die Proxy-Meldung; haengt da ein Proxy dazwischen oder meldet Apache selbst dies?
d4f
Kaffee? Wo?
Ich weiss nicht wie deren Fehlermeldung aussieht, aber koennte die Meldung von einem Dienst wie Cloudfront kommen den du eventuell zwischengeschaltet hast?
Der Webserver welcher die Meldung ausgibt versucht naemlich definitiv sich mit einem anderen Webserver in Verbindung zu setzen um Proxy zu spielen!
Der Webserver welcher die Meldung ausgibt versucht naemlich definitiv sich mit einem anderen Webserver in Verbindung zu setzen um Proxy zu spielen!