Hei

Jeg har en eller flere som for øyeblikket og flere timer i går i følge loggen jeg nå så på har prøvd å hacke seg inn på en av serverne jeg kjører på en debian/GNU Linux box. Nå som jeg ser så driver han/hun/de fortsatt å komme seg inn via root konto på ftp serveren.

Den kontoen som de prøver å komme inn på er sperret naturligvis siden det er root kontoen og det er satt opp chroot jail, så de kommer ikke inn uansett via den. Jeg sporet forbindelsen til et sted i kina som har adressen 28/F CATC Ningbo Interational Mansion,No.181 East Zhongshan Road,Ningbo 315000,China.

NBIP CNC(Ningbo)info-Port co.,Ltd er de som er nettleverandør og jeg får opp at systemet som prøver å angripe er på dette nettverket. Jeg har teknisk og admin kontakt for disse, men spørsmålet blir, hva skjer dersom jeg sender en mail til de, skjer det noe i heletatt? Burde jeg anmelde det eller bør jeg kun anmelde det dersom de faktisk kommer seg inn eller hva burde jeg gjøre...er det nok å bare kontakte ISP eller skal jeg ikke gjøre noe i heletatt..? Nå tenker jeg på om dette hadde vært en kritisk bedriftsserver bla. Som situasjonen er nå så er dette kun en test server som ikke er innenfor noe bedriftsnettverk, men den har likevel viktige data som bla. jeg bruker til semesterprosjekter osv. Backup er hvertfall en fin sak.

Noen tanker rundt dette i henhold til spørsmålene jeg kom med..

Okey, jeg har ganske oppatert SW og har helt oppdatert og stabel kjerne, burde vel oppdatere de litt som jeg kan unngå eventuelle buffer overflows og sikkerhetshull. Nå det er sagt, så har jeg sperret alle unødvendige terminaler fra innlogging pluss annet.

Siden disse type angrep skjer som oftest fra samme ip, det vil si at egentlig fra mange ip'r, men når du får en rekke etter hverandre er de som oftest fra samme ip, kan du f.eks. sette opp filter med iptables.

edit: var for ftp kansje