Massive Bruteforce attacke seit Wochen

down16

DocFraggle script v2.2 works great

DocFraggle

curiosity Ohne das Skript von @DocFraggle wäre ich gar nicht auf AbuseIPDB aufmerksam geworden. Danke! 😃

Danke an @esackbauer der hier initial AbuseIPDB ins Spiel gebracht hat 👍😅

curiosity

DocFraggle Stimmt, soll ja nicht unerwähnt bleiben, wer den Stein ins rollen gebracht hat. 😉

semaf

curiosity Vielen dank für das sharen! Das Reporting wird natürlich uns allen helfen. Außerdem ist mit Crowdsec noch ein Sicherheitsebene da. Also werde es installiert und nutzt kann etwas beitragen.

Crowdsec installation gibt es hier -> https://blog.vacum.se/securing-mailcow-with-crowdsec/

curiosity

semaf Crowdsec installation gibt es hier -> Protecting mailcow with Crowdsec

Hier nochmal eine schöne Seite als Ergänzung, die auf die Absicherung eines Linux Servers mit Crowdsec eingeht (was man natürlich auch in Verbindung mit mailcow gilt) und noch mal ein paar konfigurations Beispiele für die Benachrichtung per Mail oder Telegramm und den Bannzeiten eingeht. Mir hat es gut geholfen bei der Einarbeitung in Crowdsec. Vor allem da es mal eine der wenigen Anleitung ist, die in meiner Muttersprache verfasst wurde. 😇 Stehe leider mit Englisch etwas auf Kriegsfuß. 🥴 Hätte ich das damals in der Schule gewusst wie wichtig das mal wird, dann hätte ich besser aufgepasst. 😆

Hier der Link -> https://andersgood.de/blog/linux-server-in-15-minuten-mit-crowdsec-absichern#banzeit-dynamisch-erhoehen

bekenz762

Hallo Zusammen,
ich habe seit meiner Server neu Installation mit Debian 12 das Problem das der tägliche Cronjob nicht mehr geht.

35 8 * * * /usr/local/etc/mailcow-scripts/abuseipdb.sh 1>/var/log/abuseipdb.log 2>&1

in der Log kommt dann ipset NOT found, please install package. ipset und jq ist natürlich installiert.

Wird das Script manuell ausgeführt funktioniert alles wunderbar.

DocFraggle

bekenz762 Du hast das aber schon in die Root Crontab gepackt oder? Wenn ja, dann probiers mal so:

0 */5 * * * PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin /usr/local/etc/mailcow-scripts/abuseipdb.sh 1>/var/log/abuseipdb.log 2>&1

Falls Cron die PATH Umgebungsvariable nicht hat

bekenz762

DocFraggle
Vielen Dank! Hat jetzt geklappt lag an der “PATH Umgebungsvariable” für Cron.

accolon

Danke für das Skript! Ich hatte mir etwas ähnliches für einen anderen Server gestrickt, wo ich die Regeln einfach in die INPUT-Chain packe bzw. packen kann, da ich dort ohne Docker kein FORWARDING hab. Das hier hilft mir sehr auf der mailcow.

Zwei spontane Anmerkungen:

Die aktuelle Version des Skripts prüft noch auf jq, aber das wird gar nicht mehr verwendet.
Der Name der Chain MAILCOW wird einerseits in einer Variable festgelegt und an ensure_rule_at_top() übergeben, andererseits ist der Name aber an einigen Stellen innerhalb der Funktion (und in dem Block zu den Logging-Regeln) trotzdem fest kodiert.

DocFraggle

accolon Super, danke für die Info! Beides gefit mit v2.3

DocFraggle/mailcow-scriptsreleases/tag/v2.3

maybl8

DocFraggle The cronjob is running fine however I am noticing that I lose the LOG entry but I don’t know when . When I first run it manually the LOG is there. Somewhere after the script runs it looks like I lose the LOG function.

Chain MAILCOW (2 references)
 pkts bytes target     prot opt in     out     source               destination
  810 51144 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            match-set abuseipdb_blacklist_v4 src
   20  1552 REJECT     all  --  *      *       73.173.151.120       0.0.0.0/0            reject-with icmp-port-unreachable
    9   513 REJECT     all  --  *      *       129.224.201.45       0.0.0.0/0            reject-with icmp-port-unreachable
   21  1604 REJECT     all  --  *      *       73.138.56.10         0.0.0.0/0            reject-with icmp-port-unreachable
   20  1552 REJECT     all  --  *      *       67.242.117.151       0.0.0.0/0            reject-with icmp-port-unreachable

DocFraggle

maybl8 You have to add --enable-log to the crontab line

netsrot303

Ich habe mal eine Frage zu diesem script. Auf meinem mailcow server habe ich ufw installiert, beisst sich das wenn ich zusätzlich dieses script mit einbinde?

Ganzjahresgriller

Mailcow + UFW beisst sich, bitte hier lesen: https://docs.mailcow.email/getstarted/prerequisite-system/

netsrot303

Ja ich weiss, ich habe habe das mit ufw gemacht weil es damals auch so in der Doku stand. Bis jetzt habe ich da zum Glück noch keine Probleme gehabt. Würde denn das script funktionieren obwohl ich noch ufw mit installiert habe? Oder hat hier vielleicht noch einer ufw noch installiert und auch das abuseip script laufen?

maybl8

To my knowledge and you can search for other posts about ufw here is that mailcow uses its own firewall via iptables. You don’t need an additional ufw on the mailcow server. You can run other firewalls in front of mailcow if you want as far as I know.
I am using the script and also set up crowdsec and this is very effective blocking scheme.

netsrot303

Ich werde mich mal darum kümmern ufw von dem Server zu schmeissen wenn das ja so Probleme macht. Wie macht ihr das denn um nur die geforderten eingehenden Ports für mailcow zuzulassen? Alles direkt über iptables?

esackbauer

netsrot303 Wie macht ihr das denn um nur die geforderten eingehenden Ports für mailcow zuzulassen?

Wie gesagt, das macht mailcow ja schon selber.

netsrot303

Okay, also ist es nicht notwendig erstmal alle eingehende Ports zu schliessen und explizit nur gewünschte eingehenden Ports zu öffnen auf dem Server. Wie z.B. der Port für ssh.

Ganzjahresgriller

Naja, ssh ist ja ein Thema für sich. Ich habs z. B. standradmäßig ausgeschalten und aktiviere es nur wenn ich es brauche

« Previous Page Next Page »