Na každý router Turris míří denně více než devět tisíc útoků

A to jako pocitaji co? Unikatni IP (botnetu), nebo kazdy pokus o prihlaseni na ssh? Tohle straseni cisly je odporna medialni praktika...

Měl jsem před pár lety zapnutý honeypod na ssh s tím, že jsem na tvrdo blokoval ruské, čínské a africké IP (z prostého důvodu, že z těchto zemí se rozhodně hlásit nebudu) takže ty do statistik nešly a i tak jsem denně zaznamenal řádově desítky unikátních IP. Většinou ze stejné IP přišlo několik pokusů (5-10). Takže bych řekl, že to jsou všechny pokusy dohromady nezávisle na IP. Ale můžu se mýlit, přeci jen je to už pár let..

Tvrzení, že se snaží získat kontrolu nad routerem a následně sledovat přístupové údaje, aktivity a datové toky všech členů domácnosti, k tomu patří taky – z routeru toho moc nevysledují, pokud členové domácnosti neposílají hesla plaintextem. Většina si jen sbírá nody do DDoSu.

Horší by bylo ovládnutí routeru.

Bez problému začnou dělat MITM i na HTTPS provozu - řada lidí prostě ten jejich certifikát odklikne - přece potřebují teď nutně něco vyřídit v bance...

Zmíněné číslo zahrnuje počty incidentů, které jsme klasifikovali jako útoky - tedy pokusy o přihlášení do SMTP, HTTP, FTP a Telnet honeypotů a firewallové skeny zahrnující alespoň 10 různých portů.

Číslo by samozřejmě vypadalo jinak, pokud bychom zvolili jinou klasifikaci. Pokud bychom například snížili počet portů ve skenu nebo nám místo pokusů o zadání jména/hesla stačilo pouhé připojení ke službě, celkové číslo by bylo násobně vyšší.

Šlo nám tedy hlavně o nastavení metriky tak, abychom mohli v budoucnu sledovat, zda toto číslo roste či klesá.

nejakou chvilku jsme pouzivali databaze problematickych ip ... jako feed do firewallu ale museli jsem to pak vypnout. Bohuzel se do databaze dostavali ip adresy, ktere by asi nemely. Treba server lets encrypt. Dlouho jsm eresili proc nam nejde obnova certifikatu a pak jsme zjistili toto. Ma s tim nekdo zkusenost? A jak se tam ty ip mohly dostat?

Puvodni system sberu a klasifikace utoku nahrazujeme novym (nazvanym Turris Sentinel). Pokud se to objevovalo v tom puvodnim systemu, tak to uz ted asi nezjistime. V Sentinelu by se takove adresy objevovat nemely a u kazde zverejnene adresy vedeme i duvody zverejneni. Pokud byste narazil na adresu, ktera by se tam byt nemela, muzete nam ji nahlasit.

Novy "greylist" najdete na https://view.sentinel.turris.cz/greylist-data/

Kazdopadne i pro tento greylist plati "disclaimer", ze by to nemelo byt pouzito jako seznam adres k blokovani, ale spise jako "reputacni databaze". Doporucujeme kombinovat vice zdroju, pripadne pouzit pro "throttling" apod.

Vojtech Myslivec
Turris tym

Funguje ještě Haas? (Měl jsem dojem, že to nějak přestalo fungovat...)
Sběru dat pro Sentinel se dá taky účastnit (a nechat si zobrazovat útoky), nebo je to jen pro turisáky?

diky za odpoved. Me se podarilo dohledat jednu ip, ktera byla na seznamu

66.133.109.36,http

https://view.sentinel.turris.cz/greylist-data/archive/2021/greylist-2021-03-09.csv

Proto by bylo fer napsat jak se to pocita.. na kazdem stroji s verejnou IP je samozrejme tisice neplatnych pokusu o prihlaseni napr. pres ssh (v podstate v zavislosti na rate limitu...). Ve vetsine pripadu se jedna o pokusy ze stovek ruznych IP casto na nekolik vybranych uzivatelskych jmen. Podle toho se da lidskym okem celkem snadno odhadnout, ze se jedna o jednoho utocnika, ktery se pomoci botnetu snazi vyzkouset zpravidla slovnikova hesla, coz bych klasifikoval jako jeden utok, nicmene chapu, ze strojove je to asi tezko uchopitelne, takze tim vzniknou ty tisice...

MMCH: pocitaji se do toho i skeny ruznych sluzeb jako shodan, censys, proki apod. ktere neustale prochazeji sit a hledaji zranitelna zarizeni?

Takto napsáno to vypadá trochu nadneseně. Na svém FW mám automatický ban, maximum co jsem zaznamenal bylo 13 otrapů, tedy IP adres, co zkoušeli hesla nebo skenovali porty, jinak je to většinou denně hodně nízká desítka. Kromě automatického banu používám i blacklisty, konkrétně pak Turris graylist zahodil 2000 paketů za cca týden. Jak je tedy počítán "útok" z pohledu Turrisu?

Pro účely téhle statistiky považujeme za útok každý pokus o přihlášení do jednoho z SMTP, HTTP, FTP a Telnet honeypotů nebo firewallový sken zahrnující alespoň 10 různých portů.

Pro účely generovaní našeho greylistu pak používáme širší skladbu těchto incidentů. Každému incidentu přiřazujeme skóre. Ve chvili, kdy skóre nasbírané jedním útočníkem překročí definovanou mez, dostane se na greylist. Platí zároveň, že pro zařazení adresy útočníka na seznam musí existovat reporty z vícero našich sond.

Na každý router Turris míří denně více než devět tisíc útoků
Tak to si radšej kúpim iný router, na ktorý sa toľko neútočí!

Možná by stálo za to zveřejnit spíš medián, než průměr.