Ständige Anmeldeversuche am DSM

[Sequoia]

Ja, dass das geht, ist klar. Aber man muss eben aktiv schauen.
Ich bin z.B. nicht jeden Tag auf der Synology.

 

[Monacum]

Dann nutz weiter 0.8

 

[Sequoia]

Das ist dann die Lösung?

 

[Monacum]

Bei deinen Fragen und Nachfragen bin ich mir nicht sicher, ob du verstanden hast, warum Stephan gestern die 0.9 veröffentlicht hat.

Wer von den Meldungen alle paar Minuten genervt ist, nutzt einfach die neue Version und bekommt nur noch eine Mitteilung, muss aber damit leben, dass es keine Benachrichtigung gibt, wenn es wieder funktioniert.

Jemand, der wissen möchte, wann es wieder funktioniert, der muss sich halt die ganze Zeit von den Meldungen nerven lassen und weiß dann, wenn sie ausbleiben, dass es wieder funktioniert.

 

[Sequoia]

Genau so habe ich es verstanden. Das ist auch gut so, dass einfach die Fehler unterdrückt werden.
Aber es kann ja nicht die Lösung sein. Klar hat er auf Blocklist keinen Einfluss, aber dennoch ist es ja nicht der Sicherheit zuträglich, wie es gerade ist (dass Blocklist über Tage nicht läuft, und somit die Sicherheit nicht mehr gegeben ist)?

 

[Rotbart]

Wie sieht dann deiner Meinung nach die Lösung aus ?

 

[Monacum]

Dafür bekommst du ja die erste Meldung. Ich entferne im Zweifelsfall einfach die Portfreigaben im Router, ich bin darauf nicht so angewiesen, dass das für mich ein Problem wäre.

 

[geimist]

Ich habe noch zwei Zeilen hinzugefügt (v0.9.1). Jetzt wird auch eine Meldung ausgegeben, wenn das Skript das erste Mal wieder erfolgreich durchlaufen wurde. Allerdings ist für die Meldung auch ein 'unnormales Beenden' nötig (exit <> 0), damit die Info im Aufgabenplaner getriggert wird. Das wollte ich eigentlich aufgrund der Inkonsistenz vermeiden.

 

[Swp2000]

@geimist, wo finde ich v.0.8 nochmal?

 

[geimist]

Über den Button "History" auf Github.
Hier der Link zur Version 0.8.

 

[Gulliver]

Jetzt wird auch eine Meldung ausgegeben, wenn das Skript das erste Mal wieder erfolgreich durchlaufen wurde

Super Stefan, das ist ein sehr praktischer workaround.
Danke für die Mühe!

 

[Uhlhorn]

Ich hatte die letzen Tage massenweise Fehlermeldungen: „Eine geplante Aufgabe wurde übersprungen, da sie bereits ausgeführt wird“. Inzwischen habe ich gesehen, dass es schon Updates zu dem Script gibt, dane dafür.

Aber mir ist heute etwas Besonderes aufgefallen: Ich habe die Scripte testweise angehalten und festgestellt, dass keine Angriffe dieser Art mehr stattfinden. Vermutlich hat der Angreifer bemerkt, dass er bei einigen Geräten blockiert wird.

 

[Monacum]

Die Fehlermeldung bedeutet aber nicht, dass ein Angriff durchgeführt worden ist, sie bedeutet lediglich, dass das Skript noch irgendwo im Hintergrund läuft. Oder was meinst du mit Angriffen?

 

[Gulliver]

Ich habe die Scripte testweise angehalten

Meine beiden DS haben sich irgendwann bei der Ausführung 'verschluckt'. Musste sie neu starten, da sich das script nicht beenden ließ.

 

[Uhlhorn]

@Monacum Mit „Angriffen“ meine ich die Anmeldeversuche als admin. Die finden nicht mehr statt, sie haben aufgehört.

@Gulliver Ah, das werde ich mal probieren. Danke für den Hinweis.

 

[32bit]

Zwischen dem 18.3.2024 und 9.4.2024 habe ich über 8000 Versuche sich als "admin" anzumelden - alle gescheitert. Ich denke am Passwort, danach würde es eh noch 2FA geben...
Immer im zwei-Minuten Takt und hin und wieder mit vielen Stunden Pause dazwischen. Von völlig unterschiedlichen IPs, sieht nach Botnetz aus.
Habe mal die Account Protection etwas hochgefahren, weniger Versuche in viel längerere Zeit und dann Accountsperre für noch länger.

Da scheint schon jemand geziehlt nach Synology NAS zu suchen und Brute Force an die Kennwörter zu kommen.

Im Anhang das log.

 

[ctrlaltdelete]

Hast du etwa Port 5000/5001 nach aussen offen?

 

[32bit]

Hast du etwa Port 5000/5001 nach aussen offen?

Ja, wird für Synology Photos benötigt. Leider.

 

[geimist]

Aber nicht, wenn du

• den DSM Port änderst
• oder einen eigenen Port für Photos nutzt
• oder eine Subdomain / alias für Photos nutzt.

Keine Standardports nach draußen!

 

[ctrlaltdelete]

Stelle besser um auf Reverseproxy von Synology mit einem Subdomain/Alias für Photos.
Dann hast du nach aussen nur Port 443 offen.