Eu tenho um vps no hetzner.de com o vmware rodando várias instâncias, uma delas é um servidor Ubuntu 13.10, atuando principalmente como servidor mysql para vários sites. Hoje recebi um e-mail do hetzner dizendo que eles receberam uma notificação de spam / abuso:
Meu IP xx.xx.xx.xx está sendo deduzido de sua rede Todos os ips que me atacam pertencem a Hetzner A velocidade de ataque é maior que 1gbit \ s
PROTO = UDP SPT = 10000 DPT = 80 DST = xx.xx.xx.xx
Endereços IP que estão me atacando: Feb 9 19:27:07 kernel srv1: [112.236968] Firewall: * UDP_IN Bloqueado * IN = eth0 OUT = MAC = aa: yy: yy: yy: yy: yy: yy: aa: yy: yy: yy: yy: yy: aa SRC = zz.zz.zz.zz DST = xx.xx.xx.xx LEN = 1396 TOS = 0x00 PREC = 0x00 TTL = 246 ID = 22304 PROTO = UDP SPT = 10000 DPT = 80 LEN = 1376
Estou usando o UFW, e esse é o resultado do "status ufw":
34 / tcp permite em qualquer lugar
22 / tcp permitir em qualquer lugar
3306 / tcp permitem aa.aa.aa.aa
3306 / tcp permite bb.bb.bb.bb
3306 / tcp permite cc.cc.cc.cc
3306 / tcp permitem dd.dd.dd.dd
34 / tcp permite em qualquer lugar (v6)
22 / tcp permitir em qualquer lugar (v6)
as portas 22 e 34 são usadas para o ssh acessível apenas com chave privada. porta 3306 é usada para as conexões mysql de servidores da Web e máquinas de desenvolvedores
Não consigo ver nada de anormal no meu auth.log
Alguém pode me ajudar a descobrir isso?
Obrigado
Recebi uma carta semelhante de [email protected] yestoday. Tem texto do administrador "atacado" como sua carta.
Eu verifiquei meu servidor - tudo ok. Nada de atividade ilegal.
Eu acho que alguém quer brincar com o apoio ao abuso de Hetzner. Ou quer baixar alguns servidores.
De acordo com um pouco mais de pesquisa e feedback hetzner, parece que é um problema de spoofing de IP, ou seja: informações de IP de origem falsas.
Parece que o invasor usou (false) hetzner ips como fonte ip dos pacotes de ataque.
Então, se você não encontrar nenhum problema, parece que foi tudo falso alarme para nós.
Sim. Eu também estou analisando o tráfego de saída para 9 de fevereiro. A atividade do DOS está ausente.
O suporte a abuso do Hetzner e o administrador atacado não respondem na minha carta.
Eu tenho medo de transformar meu servidor de uma rede externa por engano. Hetzner é praticado esta ação por causa do DOS para o servidor cliente ou DOS para fora do servidor cliente.