Unebrechtigte Zugriffe von "aussen"

[aban 10]

Hallo allerseits,

 

ich habe folgende Umgebung:

- Windows Server 2003 SBS

- Exchange Server 2003 (SBS)

- Router LANCOM Business LAN R800+ (B); mit fester IP-Adresse im WAN

- Exchange WebAccess und PushMail

 

Jetzt bekomme ich seit ein paar Tagen immer wieder Meldungen wie diese:

 

Dies zeigt ja, dass jemand versucht sich "von aussen" einzuwählen.

wie kann ich so etwas verhindern/blocken?

 

Gruß, Andreas.

[aban 10]

Keiner ne Ahnung, was ich dagegen tun könnte?

[stephanontour 10]

Also ein paar Eckdaten wären Interessant. Stehen deine Server in einer DMZ oder ähnliches? Welche Sicherheitsmaßnahmen setzt du ein? Soll dein System von außen erreichbar sein? Hast du schon mal über Whois oder andere versucht das Quellnetzwerk zu identifizieren?

[aban 10]

Wir haben ein sehr kleines Netzwerk und daher auch nur diesen einen SBS; d.h. DSL >> Router >> Server

DMZ gibt es keine.

Der Server muss zwecks Push-Mail und OWA von aussen erreichbar sein und hat daher eine feste IP.

Der OWA erfolgt über https.

 

Gruß, Andreas.

[zahni 587]

Welche Ports hastg Du denn weitergeleitet ?

 

Aus dem Screenshot geht nicht hervor, über welchen Weg man versucht hat sich anzumelden.

 

-Zahni

[aban 10]

Ursprünglich waren die Ports 80,88,433 und 3390 offen.

Heute morgen habe ich dann alle bis auf den Port 433 geschlossen, da ich den für das PushMail und OWA brauche.

 

Gruß, Andreas.

[NorbertFe 2.277]

Off-Topic:
Ich gehe mal davon aus, dass du 443 meinst, oder? Ansonsten wirds nix mit dem "Ge-pushe" ;)

Bye
Norbert

[zahni 587]

Nun dann versucht sich wohl jemand über OWA anzumelden. Wie willst Du das verhindern ?

[aban 10]

@NorbertFe: Sorry, war'n Vertipper! Klar Port 443!!!

 

@zahni: Prinzipiell könnens auch die anderen drei Ports gewesen sein, da ich diese ja heute morgen erst dekativiert/geschlossen habe.

 

Die Frage ist eben auch: Was macht man prinzipiell gegen solche "Attacken"?

Im heutigen Serverbericht waren über 5.000 solcher Anmeldeversuche aufgelistet. Alle von der gleichen IP-Adresse.

Diesmal war's eine aus Korea; vorgestern war's eine aus Schweden; letzte Woche eine aus Deutschland.

 

Gruß, Andreas.

[zahni 587]

Du könntest z.B. einen http://www.microsoft.com/germany/forefront/edgesecurity/tmg/default.mspx davor stellen, der Bruteforce- oder Dictionary-Angriffe erkennt und abfängt.

 

Für den Hausgebrauch bleibt nur ein VPN einzurichten. Pushmail kann man z.B. über den Blackberry Enterprise Server machen (mit einem Blackberry). Der bruacht keine offenen Ports im Internet.

 

-Zahni