Jaki jest sens tego rodzaju „ataku”? Szybkość jest zbyt niska, aby wykonać jakiekolwiek skuteczne brutalne wymuszenie, i naprawdę wątpię, czy ktoś specjalnie celowałby w mój mały osobisty serwer.

Szybkość jest niska lub w sumie ilość wysyłanych danych jest niewielka? Możliwe, że bardzo rzadko widzisz połączenia, ale skąd wiesz, że boty wykonujące brutalne wymuszanie nie nasycają stale swoich łączy wysyłających, a Twoja witryna jest tylko jedną z wielu atakowanych? Nie ma żadnej korzyści dla atakującego, jeśli spędza krótki czas na przechodzeniu po jednej witrynie na raz (i uruchamianiu fail2ban) w porównaniu z atakowaniem ogromnej liczby serwerów naraz, gdzie każdy serwer widzi tylko rzadkie połączenia. Oba mogą mieć tę samą liczbę wychodzących prób uwierzytelnienia na sekundę.

Czy jest coś, co mogę z tym zrobić, poza zablokowaniem pełnego zakresu adresów IP tego dostawcy (lub ignorowaniem wiadomości, ponieważ moje hasła są silne) ?

Mało prawdopodobne. Są szanse, że pochodzą one z botnetu lub klastra tanich serwerów VPS. Nie można określić, które inne zakresy adresów IP mogą być używane, widząc tylko kilka z nich. Jeśli nie znajdują się w tej samej podsieci, nie można ich przewidzieć. Możesz bezpiecznie zignorować te połączenia. To nic innego jak szum w tle internetu.

Pytanie 1 - O ile nie jest to błędna konfiguracja (jak wspomniano w komentarzach), z mojego doświadczenia wynika, że ​​są to automatyczne ataki poszukujące kont, z których można wysyłać niechciane komercyjne wiadomości e-mail (lub próby phishingu).

Pytanie 2 - Jeśli zakres adresów IP, z których pochodzą Twoje legalne loginy, jest znany i wystarczająco mały, może być łatwiej zablokować wszystko oprócz tych zakresów.

Administruję pocztą e-mail dla małej firmy serwer, ten rodzaj sondowania jest dla nas prawie ciągły.

1 próba co 1-2 godziny? To nie jest brutalna siła.

Może to czyjś iPhone z wygasłym hasłem. Prawdopodobnie twój! Lub, jeśli ponownie używasz adresów IP firmy hostingowej, poprzedni „właściciel” może nadal mieć gdzieś klienta poczty e-mail, skonfigurowane do przechodzenia do [teraz] twoich adresów IP.

Jeśli masz adresy IP, przynajmniej możesz je wyśledzić.

Standardowa istniejąca praktyka blokowania adresów IP, które wielokrotnie próbują włamać się do systemu, działa tylko na ataki ukierunkowane.

Botnet może znaleźć ogromną listę serwerów i rozprowadzić zarówno osoby dokonujące ataku, jak i osoby atakują wśród botnetu. Objawem będzie poziom tła nieudanych prób zalogowania się do twojego systemu, dopóki jedna się nie powiedzie, po czym wdrożą jakiś zestaw, który eskaluje do roota i doda twój system do botnetu.

Ty można się przed tym bronić na bardzo niewiele sposobów.

Silne hasła są jedną z możliwych obron, ale muszą być połączone z zabezpieczeniem systemu w inny sposób przed atakami nieopartymi na hasłach. Załóżmy, że wyjdzie, że nastąpił atak przepełnienia / niedomiaru bufora w Twoim systemie logowania; botnet można przełączyć, aby wykonać ten atak i wykorzenić tysiące systemów na minutę, w tym twój.

Inną obroną może być niejasność. Tego rodzaju ataki dotyczą nisko wiszących owoców. Zmodyfikuj swój system logowania, aby (powiedzmy) wymagał wysłania polecenia ping do określonego numeru portu, zanim zezwoli na próby logowania. To czysta mrok, ale nagle przestaje wyglądać, jakby było tam miejsce do logowania. Koszt jest taki, że musisz teraz stworzyć konkretny ping, aby zalogować się zdalnie. Możesz też dodać do białej listy kilka adresów IP, z których możesz logować się zdalnie.

Ostatnim, niezwykle trudnym podejściem byłoby wygenerowanie rozproszonego systemu wykrywania hakowania haseł przez botnety. Tak jak systemy śledzą adresy IP, które je atakują, system rozproszony może śledzić botnety atakujące kogokolwiek. Wrzuć system zaufania, a będziesz mógł zbudować infrastrukturę, która będzie w stanie wykryć takie botnety łamiące hasła i sprawić, by wszyscy je zablokowali.

Taki wysiłek wymagałby lat pracy i prawdopodobnie zakończyłby się niepowodzeniem. Ale to jest coś, co możesz zrobić.

Uwierzytelnianie SASL PLAIN nie powiodło się: andb3db68ad.virtua.com.br nie rozpoznaje adresu 179.219.104.173

Dopóki nie masz włączonego uwierzytelniania PLAIN dla żadnego użytkownika, wszystko powinno być w porządku. Ponadto, to: b3db68ad.virtua.com.br nie rozwiązuje adresu 179.219.104.173 mówi, że domena (y) jest fałszywą domeną, ponieważ nie jest rozwiązywana na używany adres IP. Kolejna porażka. Więc może nawet nie pochodzić z tej domeny. Możesz spędzić dużo czasu na pisaniu reguł Postfix, aby zakazać tego rodzaju rzeczy, ale ostatecznie ilość czasu, którą spędzasz, znacznie przewyższa obciążenie systemu.