Attacke immer vom selben Benutzer

Ganzjahresgriller

Ist bei mir genauso, in meinem Fall art@domain.tld

lakelounge

der fail2ban-Filter dazu sieht übrigens so aus (nur zur Info):

[Definition]

# Regex für netfilter-mailcow-Logs
failregex = ^netfilter-mailcow-1\s+\| <HOST> matched rule id 3 .* SASL LOGIN authentication failed.*sasl_username=regetuc(@meineDomain\.tld)?

# Regex für dovecot-mailcow-Logs
            ^dovecot-mailcow-1\s+\| <HOST> .*lua\(regetuc(@meineDomain\.tld)?,.*Password mismatch

# Ignorieren von Kommentaren
ignoreregex =

esackbauer

Ist das dein erster Mailserver? Ich kenne solche “Brute Force Attacken” schon seit 25 Jahren…
Es kostet halt den Angreifer nix es auszuprobieren, also hoffen sie auf einen Zufallstreffer.

lakelounge

esackbauer zumindest mein erster mit Mailcow :-) Hab mich wohl vorher nie so intensiv mit den Logfiles beschäftigt. Aber Sinn ergibt das doch nicht, wenn immer derselbe Benutzer versucht wird oder?

Ganzjahresgriller

Frag den / die Angreifer. Da werden halt automatisierte Scripts laufen

esackbauer

@lakelounge wenn du weniger solche Einträge haben willst, könntest du die IPs von abuseipdb.com zum blocken verwenden. Die IP von der das versucht wird steht auf der Liste.
https://docs.mailcow.email/de/third_party/abuseipdb/third_party-abuseipdb/

lakelounge

esackbauer Oh, danke dir vielmals!!

Ganzjahresgriller

@esackbauer die AbuseIPDB Integration läuft bei mir, hilft aber nur bedingt

esackbauer

Ganzjahresgriller
Deshalb schrieb ich ja es gibt “weniger” solche Log Einträge 😉

CK_beats

Alternativ, wenn technisch umsetzbar, mit Geoblocking arbeiten.
Ich wüsste nicht, dass im Iraq relevante E-Mail Server stehen. Außer Du brauchst natürlich den Kontakt dorthin.

Wir arbeiten aktiv seit vielen Jahren mit Geoblocking auf dem Mailserver, sowie Zugriffsmöglichkeit auf weitere HTTP/S -Dienste.
Die klatschen wie eine Mucke gegen eine Autoscheibe 😂😂😂😂

Ganzjahresgriller

Naja Geoblocking lebt aber von gut gepflegten IP Listen

CK_beats

Ganzjahresgriller
Natürlich! Wie auch Blacklists von den Meldungen leben.
100% gibt es nicht.
Aber die Summe aus allem hilft in jedem Fall bei den Standard Attacken.

friendsfan

Hab ich auch seit 1-2 Tagen, bei mir aber mit meiner korrekten E-Mail Adresse mit der ich mich normalerweise einlogge. Die IP’s sind aber alle noch jungfräulich auf AbuseIP.

Z. B:

49.15.245.90
59.188.165.227
172.22.163.141

Es gibt auch nie einen zweiten Versuch. Immer nur einmal.

esackbauer

Wenn die Blacklisten immer 100% aktuell und korrekt wären, bräuchten wir unsere Systeme nie patchen 😉
duck und weg

Ganzjahresgriller

Was glaube ich sinnvoll wäre wenn man aus der MC diese IPs an AbuseIPDB reporten könnte

DocFraggle

Ganzjahresgriller Ich meine irgendjemand hat das hier im Forum schon mal irgendwie gemacht. Ich bin nicht sicher ob das das Crowdsec Thema war oder via Fail2ban an AbuseIPDB

curiosity

DocFraggle

Jepp, das war ich. Ich habe es mit Crowdsec kombiniert und damit werden die „bösen“ IPs an AbuseIPDB gemeldet. Ist relativ einfach umzusetzen wenn man Crowdsec eh am laufen hat . Läuft seitdem ohne Probleme und bis jetzt wurden schon 1815 IPs gemeldet. Klar sind da auch welche dabei die in der AbuseIPDB als „whitelist“ geführt sind (Google & Co). Einige der IPs die mir permanent auf den Sack gehen, werden halt dauerhaft in meiner Blocklist aufgenommen.

Ganzjahresgriller

Ich glaube das war Crowdsec. Aber es wäre halt gut wenn so viele wie möglich mitmachen würden und wenn es so einfach wie möglich wäre.

Ganzjahresgriller

Kannst Du nochmal auf Deinen Beitrag verlinken oder beschreiben wie Du das gemacht hast?

curiosity

Ganzjahresgriller
Hoppla, hatte vergessen oben den Link hinzuzufügen . Hier nun link zu meinem Beitrag https://community.mailcow.email/d/4527-massive-bruteforce-attacke-seit-wochen/140