Attacken auf Synology NAS???

[Ronny1978]

Hier ein paar Infos aus einem anderen Forum mit Tips zum Einrichten...Und opnsense ist der pfsense ähnlich genug, um das hinzubiegen, denke ich.
Viel Erfolg...

Hallo the other,

das hatte ich schon einmal mit meinem Bruder probiert. Mein OpnSense war "stark genug", um von extern ÜBER EINEN TUNNEL von meinem NAS ein Film zu streamen. Die Fritzbox jedoch nicht. Sobald die VPN zwischen Fritzbox und der OpnSense aktiv war, war das Streamen ein Graus.

 

[Ronny1978]

Ich habe von euch viele Tipps erhalten und werden versuchen diese umzusetzen, um zusätzlich zu 2FA, Deaktivierung des Admin-Account, dem Kontoschutz mich noch weiter abzusichern.

Habt vielen Dank.

 

[geimist]

Deine Portweiterleitung sollte dann definiert sein auf "von Aussen" :69999 auf "intern" IP_Diskstation:5001

Die höchstmögliche Portnummer ist 65535.

 

[heavy]

@maxblank die IP sollte nur ein Beispiel sein um zu verdeutlichen dass sich eben nur der letzte Block ändert. Natürlich veröffentliche ich hier nicht die richtigen IPs.

@weyon Also wenn ich innerhalb von 3 Sekunden 30 Login Versuche habe, dann kann man durchaus von einem Angriff reden.

 

[Synchrotron]

Das ist kein Angriff, das ist nur ein schlecht aufgesetzter Bot. Clevere Angreifer rotieren über tausende von Zielen, so dass sie in Summe ähnlich viele Versuche starten, aber auf dem einzelnen Zielrechner weniger auffallend sind.

 

[metalworker]

Das thema hatten wir ja vor kurzen schon mal hier.

Aber gerade wenn du eine opnsense hast , da kannst doch auch Geoblocking machen.

Was mir eher sorgen macht,.
Du hast geschrieben die Angriffe kamen tum teil von 192.168.1.xxx ?
Das kann ja nur aus einem internen Netz kommen ,da würde ich persönlich mehr unruhe haben

 

[weyon]

@weyon Also wenn ich innerhalb von 3 Sekunden 30 Login Versuche habe, dann kann man durchaus von einem Angriff reden.

Nein, ein Angriff wäre es wenn er gezielt auf dich ausgerichtet wäre. Wie Synchotron gesagt hat, diese automatisierten Bots probieren bei fast allen Geräten die Online sind (Drucker, Kameras, Webserver, SSH, usw.) viele viele Kennwörter durch. Das ist nichts ungewöhnliches. Mit etwas Glück passt eins und man ist drin. Die werden auch durchaus kreativ bei den Benutzernamen, nicht nur Admin wird probiert. Als ich mal testweise ein VDSM mit dem SSH Port Online hatte, kamen die ersten „Angriffe“ bereits nach ca. 1h.
Du kannst ja alle Länder außer Deutschland blockieren, dann sollte schonmal 95% weg sein.

 

[heavy]

@weyon Ich habe immer mal wieder Login versuche, auch mal häufigere am Tag. Wenn ich aber innerhalb von 4 Sekunden von der selben IP Range zig Login Versuche habe dann bezeichne ich das doch als Angriff. Dann halt doch mal die Ips vielleicht verstehst du es dann.

141.98.10.106 141.98.10.112 141.98.11.146 141.98.11.46 141.98.10.69 141.98.10.48 141.98.11.93 141.98.11.83 141.98.11.53 141.98.10.26 141.98.10.109 141.98.10.72 Das war der erste Schwall

141.98.10.131 141.98.11.55 141.98.11.29 141.98.11.65 141.98.11.52 141.98.11.22 141.98.11.14 141.98.11.111 141.98.11.84 141.98.10.132 141.98.11.54 141.98.11.86 Und das war eine Stunde Später.

 

[Benares]

Ich hatte vor längerer Zeit sowas auch mal, die Versuche kamen immer von 2.57.121.x. Hab ich dann geblockt in der Fritzbox. Seitdem war nichts mehr.

 

[Ronny1978]

So, ich habe jetzt die Standardports geändert. Alle Anwendung gehen, nachdem ich die Ports auch in DSVideo/DSCam/DSAudio/DSFile geändert hatte, nach wie vor. Ich bedanke mich für eure Hilfe.

 

[Andy+]

Ich habe auch manchmal solche Attacken verzeichnen können, die dann gesperrt wurden, es ist unglaublich und dreist. China, Russland, Mexico, Indien, USA, Indonesion, Singapur usw. Portwechsel ist das beste Mittel, denn IP-Wechsel ist nicht von Dauer hilfreich.

 

[plang.pl]

Wenn man etwas näher analysieren will, wer/was einen von wo und auf welchen Ports angreift, macht der Honeypot Server der Telekom (T-Pot) einen Heidenspaß. Ist als VM zu installieren (via ISO booten). Dort sieht man grafisch sehr schön alle Details. Ist im Endeffekt eine Sammlung aus mehreren Dutzend Honeypots. Frisst aber gerne mal bis zu 10GB RAM. Wenn man den nicht selbst hosten will, kann man hier die gesammelten Daten aller aktiven T-Pot Server ansehen: sicherheitstacho.eu