Provider unterbindet Brute Force Attacke?

[ROFI_1969 0]

Hallo,

 

mein Windows Server 2008R2 wird seit Tagen an mehreren Ports von einem einzelnen Rechner mit einer IP-Adresse vermutlich aus Südafrika angegriffen.

Ich bezweifle, dass er Erfolg haben wird, weil ich grundsätzlich gute Passwörter nutze. Außerdem habe ich ihn bereits über die Firewall geblockt.

 

Meine vielleicht für Euch naiven Fragen sind nun eher allgemeiner Natur zum Verständnis für mich: 

 

- Gibt es denn eine Möglichkeit, dass ich den Internet-Provider dieses Rechners über den wirklich hartnäckigen Versuch informiere und dieser ihn dann "abstraft"?

- Oder gibt es Firewalls, welche diese eindeutigen stundenlangen Angriffsversuche erkennen und ihrerseits den Provider des Angreifers hierüber informieren?

- Wird so ein "verpetzen" bei den Providern denn überhaupt ernst genommen?

- Weshalb erkennen denn diese Provider eigentlich nicht selber, dass eines ihrer Schäfchen ständig in der Gegend herumhackt und verbietet ihm dies? Immerhin verursachen sie bei ihnen ja unnützen Ausgangs-Traffic.

- Weshalb kommunizieren die Provider untereinander denn nicht über dieses Problem?

 

Ich freue mich auf informative Antworten

Viele Grüße 

Robert

 

 

bearbeitet 31. August 2018 von ROFI_1969

[mwiederkehr 351]

Nach meiner Erfahrung unternehmen Provider etwas, wenn ein Angriff stattfindet, der erhebliche Auswirkungen hat. Ein bisschen Traffic durch Durchprobieren von Passwörtern gehört da nicht dazu. Bei DoS wird aber durchaus reagiert und ins Routing eingegriffen.

 

Der Provider des Angreifers erkennt Angriffe meist nicht proaktiv, da schlicht und einfach der Netzwerkverkehr nicht so detailliert überwacht wird.

 

Beschwerden an die Abuse-Adresse werden von seriösen Providern durchaus ernst genommen. Hat der Verursacher ein kleines (DSL-)Abo, wird häufig direkt die Leitung abgeklemmt, bei grösseren Verträgen wird der Verursacher informiert und bekommt eine Frist zur Behebung des Problems.

[monstermania 53]

Mir stellt sich viel eher die Frage, wieso der Windows Server offenbar frei im Internet steht... 

Welche Ports bzw. Dienste werden denn überhaupt attackiert!?

 

Gruß

Dirk

 

PS: Zu Deinen Aussagen schreib ich jetzt mal nix weiter!

[ROFI_1969 0]

vor 17 Minuten schrieb monstermania:

Mir stellt sich viel eher die Frage, wieso der Windows Server offenbar frei im Internet steht... 

Welche Ports bzw. Dienste werden denn überhaupt attackiert!?

 

Ist diese Frage jetzt ernst gemeint?

Weil der Server vielleicht für mich und meine Kunden seinen treuen Dienst tut?

Und angegriffen wird halt, was benötigt wird und demnach offen sein muss: 

IIS, SMTP/POP3/IMAP, FTP und RD.

[monstermania 53]

vor 2 Minuten schrieb ROFI_1969:

Ist diese Frage jetzt ernst gemeint?

Weil der Server vielleicht für mich und meine Kunden seinen treuen Dienst tut?

Und angegriffen wird halt, was benötigt wird und demnach offen sein muss: 

IIS, SMTP/POP3/IMAP, FTP und RD.

Ja, ist durchaus ernst gemeint. Man könnte ja eine Firewall vor den Server stellen und so z.B. per Geoblocking Zugriffe auf den Server für bestimmte Länder/Kontinente generell blocken... Bei einem guten IDS wird auch BruteForce erkannt und kann abgeblockt werden...

Falls Du mir RD zufällig Remotedesktop (Port 3389) meinst, der Port hat m.E. schon mal gar nichts im Internet zu suchen! Wenn Du den offen hast, brauchst Du Dich gar nicht zu wundern, dass Dein Server ständig abgeklopft wird. Remotezugriff sollte m.E. ausschließlich per VPN möglich sein. Auch das ließe sich per Firewall problemlos lösen...

 

Gruß

Dirk