Portscann
- Thread starter Neogreen
- Start date
Firewire2002
Registered User
Logging abschalten. 
Ports zu blocken, hinter denen sowieso kein Service lauscht ist in den meisten Fällen schon sinnfrei, dass ganze auch noch zu loggen wird dann schon eher gefährlich, wenn man nicht aufpasst. Weil man sich damit von aussen angreifbar macht, in dem man einfach die Platte mit Logs füllen lässt.
Ports zu blocken, hinter denen sowieso kein Service lauscht ist in den meisten Fällen schon sinnfrei, dass ganze auch noch zu loggen wird dann schon eher gefährlich, wenn man nicht aufpasst. Weil man sich damit von aussen angreifbar macht, in dem man einfach die Platte mit Logs füllen lässt.
d4f
Kaffee? Wo?
Um die Frage mal zu beantworten; mit mod_recent kannst du die Anzahl an SYN-Paketen je Zeitraum begrenzen und alle weiteren Anfragen blockieren.
Je nach Umgebung musst du allerdings die Default-Maximalwerte kräftig hochschrauben, aktuelle Browser öffnen schon bis zu 15 gleichzeitigen Verbindungen nur für HTTP-Anfragen, dazu kommt evtl DNS-over-TCP, Emails, ...
Wie schon angeraten würde ich es nicht loggen lassen. Sonst wirst du einer der Don Quijote's des Internetzeitalters, im Kampf gegen die Portscannermühlen.
Je nach Umgebung musst du allerdings die Default-Maximalwerte kräftig hochschrauben, aktuelle Browser öffnen schon bis zu 15 gleichzeitigen Verbindungen nur für HTTP-Anfragen, dazu kommt evtl DNS-over-TCP, Emails, ...
Wie schon angeraten würde ich es nicht loggen lassen. Sonst wirst du einer der Don Quijote's des Internetzeitalters, im Kampf gegen die Portscannermühlen.
XxDenny23xX
New Member
Ich kenn noch ein für mich sehr effektives tool das mir die ganzen Botscans vom hals hält
: Portsentry
Jedoch solte man die Config anpassen ggf. So kann man zumindest bsp durch gezieltes legen der ports auf die reagiert werden soll bsp 79,81 etc verhindern das jemand versucht automatisiert die versionen abzuklopfen wobei das bei den meisten webservern eh mittels config abstellbar ist
Aber den größten nutzen sehe ich darin mittels solcher tools automatisiert ne abuse raus zu schicken um so ein wenich der gekaperten kisten zumindest im Deutschen Raum entgegen zu wirken xD
: Portsentry
Jedoch solte man die Config anpassen ggf. So kann man zumindest bsp durch gezieltes legen der ports auf die reagiert werden soll bsp 79,81 etc verhindern das jemand versucht automatisiert die versionen abzuklopfen wobei das bei den meisten webservern eh mittels config abstellbar ist
Aber den größten nutzen sehe ich darin mittels solcher tools automatisiert ne abuse raus zu schicken um so ein wenich der gekaperten kisten zumindest im Deutschen Raum entgegen zu wirken xD
d4f
Kaffee? Wo?
Ja klar. Mehrere bei 1&1 gehostete Server welche sich an DDoS gegen einen meiner Server beteiligten wurden erst knapp 2 Wochen später abgeschaltet. Da geht ja schon fast selbst der Justizweg schneller...
Portscanning selber ist übrigens afaik nicht illegal solange es den Betrieb des Netzwerks oder Hosts nicht überlastet - was es im Normalbetrieb nicht tut. Somit wird deine Abuse dahin verfrachtet wo sie hingehört - Mülltonne.
Dass viele Hoster was gegen Portscanning haben und oft auch unternehmen ist schlicht weil es in 99% der Fälle Angriffen direkt bevorsteht.
Joa wenn niemand (auch keine normalen Besucher) draufkommt, kann auch niemand Exploit-Versuche starten. Geheimtipp: Stecker ziehen, dann ist der Server noch sicherer. Eigene Dienste wie Administrierung-Ports (SSH, ...) kann man auch hinter einem Portknocker verstecken.
XxDenny23xX
New Member
@d4f:
hahaha der witz ist wirklich zu köstlich. Natürlich dauert es bis zur abschaltung gerade bei den Larmärschen von 1&1. Wenn du da keinen guten traht zu deren abuseabteilung hast kans schonmal etwas dauern bis den papnasen auffält das ihrgend eine amoklaufende kiste erhöten traffic verursacht.
Und auserdem meine ich mit abuse unteranderem auch das benarichtigen meherer blacklisten. IP's die bei mir nen portscan machen landen halt kleich ne runde auf der "stillen treppe" da kein normaler User nen portscan macht Wozu auch kein schwein intressiert es was für services auf einer kiste laufen es sei den er möchte gern ein wenich mit exploits spielen *Wir gehen von einem normalen Webserver bsp aus! * Sprich Standartports 80,443 sind ganz normal erreichbar wenn er mehr über die kiste wissen will heist es tür zu und ich hab von anfang an ruhe. Was nicht heist das ich die nicht darauf achte das alle nach ausen zugänglichen Services nicht stäts up-to-date sind !!!!
hahaha der witz ist wirklich zu köstlich. Natürlich dauert es bis zur abschaltung gerade bei den Larmärschen von 1&1. Wenn du da keinen guten traht zu deren abuseabteilung hast kans schonmal etwas dauern bis den papnasen auffält das ihrgend eine amoklaufende kiste erhöten traffic verursacht.
Und auserdem meine ich mit abuse unteranderem auch das benarichtigen meherer blacklisten. IP's die bei mir nen portscan machen landen halt kleich ne runde auf der "stillen treppe" da kein normaler User nen portscan macht
Wozu auch kein schwein intressiert es was für services auf einer kiste laufen es sei den er möchte gern ein wenich mit exploits spielen *Wir gehen von einem normalen Webserver bsp aus! * Sprich Standartports 80,443 sind ganz normal erreichbar wenn er mehr über die kiste wissen will heist es tür zu und ich hab von anfang an ruhe. Was nicht heist das ich die nicht darauf achte das alle nach ausen zugänglichen Services nicht stäts up-to-date sind !!!!