Wie aussagekräftig ist eine IP?
Posted: 2005-11-18 00:06
Hallo,
dauernde Versuche per SSH oder sonstwie unseren Server zu hacken, bin ich ja inzwischen gewohnt. Doch inzwischen erstaunt mich, das sehr viele "Attacken" von einer bestimmten IP zu kommen scheinen. Und zwar nicht nur Attacken auf meinen, sondern auch auf andere Server...
Sieht dann z.B. so aus:Und nach ner Woche wieder der selbe spass :roll:
Ich blocke zwar per Script SSH Login "versuche" wie den obigen (iptables), doch inzwischen frage ich mich, wie Sinnvoll es wäre ggfs. weitere Schritte einzuleiten. :roll:
Hier stellt sich die Frage, wie zuverlässig ist die IP? Wie hoch ist denn die Wahrscheinlichkeit, das die Angriffe tatsächlich von dieser IP kommen? Denn jeder weitere rechtliche Schritt, würde ja nur auf die IP (zumindest Anfangs) aufbauen können. :?
Also mal unabhängig davon, das vermutlich Server von denen Attacken kommen, ggfs. selbst gekapert sind... Was meint Ihr, wie nützlich ist eine IP aus den Logs? Habt Ihr vielleicht schonmal selbst versucht weitere Schritte einzuleiten? Wie sind eure Erfahrungen?
Gruß
Andreas
dauernde Versuche per SSH oder sonstwie unseren Server zu hacken, bin ich ja inzwischen gewohnt. Doch inzwischen erstaunt mich, das sehr viele "Attacken" von einer bestimmten IP zu kommen scheinen. Und zwar nicht nur Attacken auf meinen, sondern auch auf andere Server...
Sieht dann z.B. so aus:
Code: Select all
Thu Nov 17 11:46:24 CET 2005
Nov 17 11:46:23 h1234 sshd[12302]: Illegal user ngozi from 134.169.26.1
Nov 17 11:46:23 h1234 sshd[12302]: Failed password for illegal user ngozi
from 134.169.26.1 port 62676 ssh2
Nov 17 11:46:23 h1234 sshd[12304]: Illegal user nile from 134.169.26.1
Nov 17 11:46:23 h1234 sshd[12304]: Failed password for illegal user nile
from 134.169.26.1 port 62726 ssh2
Nov 17 11:46:24 h1234 sshd[12306]: Illegal user niu from 134.169.26.1
Nov 17 11:46:24 h1234 sshd[12306]: Failed password for illegal user niu
from 134.169.26.1 port 62775 ssh2
Nov 17 11:46:24 h1234 sshd[12308]: Illegal user niut from 134.169.26.1
Nov 17 11:46:24 h1234 sshd[12308]: Failed password for illegal user niut
from 134.169.26.1 port 62824 ssh2
Nov 17 11:46:24 h1234 sshd[12310]: Illegal user nizsm from 134.169.26.1
Nov 17 11:46:24 h1234 sshd[12310]: Failed password for illegal user nizsm
from 134.169.26.1 port 62878 ssh2Ich blocke zwar per Script SSH Login "versuche" wie den obigen (iptables), doch inzwischen frage ich mich, wie Sinnvoll es wäre ggfs. weitere Schritte einzuleiten. :roll:
Hier stellt sich die Frage, wie zuverlässig ist die IP? Wie hoch ist denn die Wahrscheinlichkeit, das die Angriffe tatsächlich von dieser IP kommen? Denn jeder weitere rechtliche Schritt, würde ja nur auf die IP (zumindest Anfangs) aufbauen können. :?
Also mal unabhängig davon, das vermutlich Server von denen Attacken kommen, ggfs. selbst gekapert sind... Was meint Ihr, wie nützlich ist eine IP aus den Logs? Habt Ihr vielleicht schonmal selbst versucht weitere Schritte einzuleiten? Wie sind eure Erfahrungen?
Gruß
Andreas