Saya menjalankan server kecil (berbasis Windows). Ketika saya memeriksa log, saya melihat aliran yang stabil dari upaya peretasan tebak kata sandi (tidak berhasil). Haruskah saya mencoba melaporkan upaya-upaya itu kepada pemilik alamat IP sumber, atau apakah upaya-upaya ini saat ini dianggap sepenuhnya normal dan tidak ada yang mau repot-repot melakukan sesuatu tentang hal itu?
Jawaban:
Sementara jawabannya dapat sangat bergantung pada agensi yang ingin Anda informasikan, saya percaya bahwa secara umum Anda harus memberi tahu. Bahkan, karena memantau dan merespons kotak surat penyalahgunaan untuk organisasi kami adalah salah satu tugas utama saya, saya dapat dengan positif mengatakan, 'Ya, Tolong!'. Saya melakukan percakapan yang sama dengan anggota organisasi keamanan lainnya dan jawabannya sebagian besar terdiri dari:
Saya, tentu saja, tidak akan meminta Anda untuk mengikuti aturan itu, tetapi saya akan merekomendasikan kesalahan di sisi pelaporan. Biasanya tidak butuh banyak usaha, dan benar - benar dapat membantu orang-orang di ujung sana. Alasan mereka adalah bahwa ISP tidak sering berada dalam posisi untuk mengambil tindakan yang berarti, sehingga mereka akan menyimpan informasi tersebut. Saya dapat mengatakan bahwa kami akan secara agresif mengejar masalah ini. Kami tidak menghargai mesin yang diretas di jaringan kami, karena mereka cenderung menyebar.
Trik sebenarnya adalah memformalkan respons Anda dan prosedur pelaporan sehingga dapat konsisten di antara laporan, dan juga antara staf. Kami ingin, minimal, yang berikut:
Jika Anda juga bisa memasukkan contoh pesan log yang memberi tahu Anda, itu juga bisa berguna.
Biasanya, ketika kita melihat perilaku semacam ini, kita juga membuat blok firewall dari ruang lingkup yang paling tepat di lokasi yang paling tepat. Definisi yang sesuai akan sangat tergantung pada apa yang terjadi, seperti apa bisnis Anda, dan seperti apa infrastruktur Anda. Mulai dari memblokir IP serangan tunggal di tuan rumah, sampai tidak merute ASN di perbatasan.
Seperti yang dikatakan oleh lynxman, yang benar-benar dapat Anda lakukan adalah menghubungi departemen Penyalahgunaan ISP mereka dan memberi tahu mereka. Saya akan memblokir IP itu di Firewall dan di server. Kedua saya juga akan mengatur upaya berdasarkan lockout dalam kebijakan Grup (jika Anda memiliki AD). Selama kata sandi Anda kuat, saya tidak akan khawatir tentang hal itu, saya memiliki Server yang saya jalankan untuk belajar dan saya mendapatkan upaya login sepanjang hari.
Sayangnya itu benar-benar normal, sebagian besar upaya ini dihasilkan melalui server lain yang telah diretas juga.
Yang terbaik yang dapat Anda lakukan adalah bahwa jika Anda melihat serangan-serangan ini datang terus-menerus dari alamat IP yang unik dan Anda curiga bahwa server diretas adalah untuk mengirim email penyalahgunaan / sysadmin di server itu sehingga mereka dapat memperbaiki situasi, cukup mudah kehilangannya melacak server saat Anda kelebihan beban dan mempertahankan ratusan server.
Dalam kasus lain, firewall, memfilter atau mengabaikan sebagian besar merupakan praktik yang baik.
Masalah Anda di sini adalah bahwa sejumlah besar ini kemungkinan berasal dari mesin yang dikompromikan, di berbagai negara, yang mungkin PC pengguna rumahan dan mungkin pada skema pengalamatan dinamis.
Yang berarti bahwa pemilik mesin tidak tahu bahwa mereka sedang meneruskan serangan, dan tidak peduli, mereka mungkin berada di negara-negara di mana undang-undang itu benar-benar tidak peduli, dan ISP mungkin tidak peduli dan dalam kasus apa pun menang. tidak ingin menjaring log untuk melihat siapa yang menggunakan alamat IP itu.
Paket terbaik adalah kombinasi dari lynxman, Jacob's and packs '- umumnya memblokir mereka, tetapi membuat skrip untuk melihat apakah ada penyebab umum dan secara khusus mengirim comm Anda ke departemen Penyalahgunaan ISP tersebut.
Lebih baik gunakan waktu Anda seperti itu.