Domanda:
Account e-mail sotto attacco (davvero): posso fare qualcosa?
clemdia
2019-04-06 19:51:46 UTC
view on stackexchange narkive permalink

Nell'ultima settimana, c'è stata una raffica costante di errori di autenticazione al mio account di posta elettronica da una varietà di indirizzi IP, di solito in blocchi di esattamente 575 tentativi.

La mia password è forte quanto una password può essere così la possibilità di vincere la forza bruta è infinitesimale. Tuttavia, a causa degli errori di autenticazione, il mio provider di hosting continua a bloccare l'account e-mail.

C'è qualcosa che posso fare (o che posso chiedere al mio provider di hosting di fare), o sono solo fregato finché la botnet va avanti? Qualcuno con un'esperienza simile che può commentare se posso aspettarmi che tutto questo finisca?

EDIT: Dopo circa 9 giorni, ho improvvisamente smesso di essere bloccato e il ticket è stato chiuso. Immagino che abbiano finito di "testare" i nuovi criteri / sistemi e premere il pulsante di ripristino?

Non sono contento che il supporto abbia insistito su così tanta risoluzione dei problemi quando tutto la cosa sembra essere iniziata dopo una revisione della sicurezza alla fine, ma è così che va sempre ...

Chiedi al tuo provider di posta elettronica di apportare una modifica, questa è l'unica opzione.Nel frattempo, apri un nuovo account e inoltra tutte le email al tuo nuovo account in modo da essere ancora funzionante?
Stai utilizzando uno dei grandi provider di posta elettronica (Gmail, ecc.) O qualcosa di più piccolo?
Ottieni un fornitore migliore che non sia così vulnerabile a questo tipo di banale DoS?
Forse un altro account è sotto attacco (banca? Facebook? Rimborso delle imposte sul reddito? Dominio in tuo possesso?), E stanno ritirando la tua email in modo da non ricevere notifiche.
Ho avuto un'esperienza simile con il mio account: il colpevole era in realtà il mio telefono, che aveva una password obsoleta per l'account e ha ripetutamente tentato di accedervi senza successo.
Puoi accedere al file iptables del server?forse creare alcune regole per bloccare gli indirizzi IP dannosi a livello di firewall prima che colpiscano il server di posta elettronica?
Cinque risposte:
Anders
2019-04-06 22:01:32 UTC
view on stackexchange narkive permalink

Alcuni pensieri:

  • Di solito il mio primo consiglio sarebbe quello di scegliere una password estremamente complessa. Ma lo hai già capito.
  • Se è disponibile l'autenticazione a due fattori, attivala. Se sei fortunato, potrebbe renderti un bersaglio poco attraente e spingere l'attaccante ad andare avanti.
  • Se il blocco dell'account non influisce su altri metodi di lettura della posta, come tramite IMAP, puoi cambiare a quello per mantenere l'accesso. (Ad essere onesti, non so molto sulla sicurezza di IMAP, quindi potresti prenderlo in considerazione prima di attivarlo.)
  • Inoltrare la posta da qualche altra parte assicurerà anche che tu possa leggerla anche se il tuo account è bloccato.
  • Infine, puoi provare a contattare il tuo provider di posta elettronica. Penso che la soluzione migliore sia descrivere loro il problema e chiedere cosa possono fare per aiutarti.
2FA sarebbe davvero d'aiuto?Il secondo fattore di solito non viene tentato fino a quando non viene inserita una password corretta e l'attaccante non arriverà mai a tanto.
Cosa ti fa pensare che non stia già utilizzando IMAP?
@Barmar Dico "se sei fortunato" per una ragione.Se l'aggressore, un essere umano o un bot, riesce a rilevare che 2FA è attivo, potrebbe arrendersi.O no.Almeno non fa male.
@Barmar Per quanto riguarda IMAP: Certo, OP potrebbe essere, quindi immagino che tu possa semplicemente invertirlo e provare invece la webmail.Il punto è "usa un altro metodo".
@Barmar Se lo script dell'aggressore non è scritto per tentare di inserire qualcosa sul secondo fattore, potrebbe impedire il blocco.Vale almeno la pena provare.
Penso che la maggior parte dei sistemi 2FA non richieda il secondo fattore fino a dopo aver superato con successo il primo.
@Barmar Sì, è vero, ma il mio consiglio è ancora valido.C'è una possibilità diversa da zero che aiuta, lo sforzo è vicino allo zero, il rischio è zero e probabilmente dovresti farlo comunque.Quindi, anche se probabilmente non aiuta, dovresti comunque farlo.
Non consiglierei l'autenticazione a due fattori per farli andare avanti, ma piuttosto solo per essere un ulteriore livello di protezione, nel caso in cui riescano a capire la tua password alla fine.Questo è il vantaggio principale in entrambi i casi, ma è particolarmente rilevante se qualcuno sta attivamente cercando di accedere al tuo account.
vidarlo
2019-04-06 21:47:07 UTC
view on stackexchange narkive permalink

No. Questo è praticamente il rumore di fondo di essere su Internet.

Da un server casuale che ho con la posta elettronica: 

  $ sudo grep -c "auth failed" / var / log / mail.log1109

Questo è oggi. È con fail2ban che blocca più di cinque tentativi dallo stesso IP.

Questa non è la stessa cosa.Si riferisce a un account specifico, non al registro di autenticazione completo per un server di posta.Si tratta di tentativi su un utente specifico.
È vero che è specificamente il mio racconto, ma penso che vidario abbia ragione in senso generale.La mia società di hosting ha recentemente aggiornato l'implementazione di csf e mi chiedo se sia troppo severa - mi chiedevo se gli attacchi non fossero una novità - solo una nuova politica di blocco dell'account dopo "x tentativi falliti in y minuti" ...
Ho capito questa risposta per dimostrare che anche per alcuni server online casuali, i tentativi di autenticazione falliti sono abbondanti e dovrebbero essere previsti (il che è vero), non cercando di equiparare l'esempio al caso d'uso di OP.
@clemdia sì, allora potresti volerli contattare e far loro sapere che la loro "sicurezza" sta trasformando un semplice passaggio di forza bruta in un DoS bloccando l'utente legittimo (tu) fuori dall'account.Dovrebbero bloccare i tentativi di autenticazione tramite IP, non per account, è una pratica terribile.
Conor Mancone
2019-04-07 22:46:32 UTC
view on stackexchange narkive permalink

tl / dr: questo è il problema della tua società di hosting, non il tuo. Dovrai contattarli per farlo riparare. Le loro politiche di sicurezza non dovrebbero escluderti dal tuo account. Devono migliorare la sicurezza.

Hai già alcune risposte con le quali sono pienamente d'accordo e che coprono gli aspetti tecnici di questo, ma sto aggiungendo un'altra risposta per coprire un "business " articolo. Qui trovi il punto cruciale del problema:

Tuttavia, a causa degli errori di autenticazione, il mio provider di hosting continua a bloccare l'account di posta elettronica.

In altre parole, il problema non è il tuo problema. Hai fatto tutto il possibile per proteggere il tuo account sul server di posta di qualcun altro: stai utilizzando una password complessa che non può essere forzata. Il problema di fondo qui è che il tuo provider di hosting ha implementato una cattiva politica di sicurezza. Come ha detto @vidarlo, questo è solo il rumore di fondo di Internet. Il tuo provider di hosting dovrebbe saperlo. Purtroppo la risposta scelta ha l'effetto collaterale di bloccarti fuori dal tuo account.

In sostanza, la combinazione della scelta delle politiche di sicurezza della tua società di hosting e della scansione delle password standard che avviene su ogni server su Internet ha portato a un Denial of Service (DoS) della tua posta elettronica. Se la tua email è andata giù perché qualcuno ha tentato un vero DoS del tuo provider di hosting e ha riempito le loro reti con larghezza di banda inutile, la soluzione sarebbe abbastanza semplice. Non saresti qui a chiedere cosa puoi fare per risolvere il problema: parleresti con il tuo fornitore e chiederesti loro di risolverlo. Dopotutto, il punto centrale dell'utilizzo di un provider di servizi di posta elettronica di terze parti è che ti forniscano un servizio. Se non ti viene fornito quel servizio, o perché i loro server sono andati in tilt, o perché la loro rete è paralizzata da un DoS, o perché la loro politica di sicurezza è eccessivamente zelante e ti blocca dal tuo account, allora l'unica vera soluzione è per il tuo provider di hosting per risolverlo e fornirti il ​​servizio che stai pagando per darti.

Molte domande che riceviamo qui sono il risultato di persone che ignorano la sicurezza tutte insieme .. Tuttavia, ce ne sono molte altre esempi di persone che cercano di fare sicurezza ma semplicemente lo fanno in modo sbagliato. Questo è uno di questi ultimi. Pertanto, devi assolutamente parlare con il tuo provider di hosting e convincerlo a risolverlo. Se non possono fornirti il ​​servizio per cui stai pagando, allora devi passare a un provider che lo farà (anche se si spera che non sarà il tipo di provider che semplicemente non si occupa di sicurezza).

Sì, +1 per questo.Lavoro per una società di sicurezza della posta elettronica e abbiamo sistemi anti-bruteforce molto più intelligenti di quelli che l'OP sta sperimentando.Questo tipo di protezione da strumenti contundenti non è necessaria: bloccare l'utente legittimo a causa di una forza bruta è solo un invito alla negazione del servizio. Considera l'idea di cambiare il tuo provider di posta elettronica, se possibile ...
Si scopre che hanno reimplementato CSF (e forse anche altre cose) appena prima che iniziasse a succedere.Ho il sospetto che abbiano implementato una politica che devia / nega tutte le richieste di autenticazione (indipendentemente dall'IP di origine) dopo "x tentativi in n minuti": posso guardarmi mentre mi connetto al server, essere rifiutato, inviare le stesse credenziali ancora qualche volta, vengono rifiutati ancora un paio di volte e all'improvviso le credenziali funzionano.Lo faccio con loro dal vivo al telefono.Sono d'accordo che è strano, e poi inviami tramite email i file di log che mostrano "errori di autenticazione" dal mio indirizzo IP.Sì, non sto scherzando ...
@clemdia è difficile da dire con il 100% di certezza, ma sembra decisamente che questo sia esclusivamente un problema alla loro fine e (in entrambi i casi) può essere risolto solo alla loro fine.In una certa misura ti stanno anche usando come beta tester (intenzionalmente o meno).Quasi tutte le aziende tecnologiche lo fanno in una certa misura, quindi ti do degli oggetti di scena per la tua pazienza, ma non è nemmeno qualcosa che devi continuare a fare, soprattutto se continuano a fornire un servizio interrotto.
@clemdia Un esempio di un semplice bug che potrebbe spiegare questo: "Autenticazione fallita" è un messaggio di errore molto ampio.È possibile che il loro sistema lo utilizzi per qualsiasi vasta classe di errori di autenticazione, incluso "Bloccato automaticamente a causa di troppi tentativi falliti".Pertanto, le botnet attivano il blocco sul tuo account, quindi provi ad accedere e ottieni un errore di autenticazione, non perché le tue credenziali erano sbagliate, ma perché sei stato bannato automaticamente.Vedono "Autenticazione fallita" e quindi concludono che hai digitato la password in modo sbagliato, mancando il problema più grande.
Non sto affermando con certezza che sia quello che è successo, ma cose del genere sono facili da accadere e facili da perdere.Come programmatore dall'altra parte, è facile mettere i bug nella casella più ovvia e talvolta perdere la causa principale, facendo sì che la risoluzione dei problemi richieda più tempo del necessario ... ovviamente non l'ho mai fatto io stesso ...
Sono uno sviluppatore ed è proprio per questo che cerco di essere paziente (e di aiutarli a risolvere i propri problemi, se posso).Siamo stati tutti qui ... neanche loro si stanno divertendo.
Harper - Reinstate Monica
2019-04-07 00:02:56 UTC
view on stackexchange narkive permalink

Sì, è abbastanza facile che il tuo indirizzo email ufficiale inoltri le tue email a un nuovo account email "masterizzatore". Quindi, nella nuova configurazione dell'account e-mail, imposta il campo Da: sul tuo indirizzo e-mail ufficiale. In questo modo le mail escono in questo modo. 

  From: account-I-always-had@oldserver.com Oggetto: Re: so-and-so In-Reply-To: <4735813474834434634@theirmail.com> Mittente: burneraccount@newserver.com

O qualcosa del genere.

In ogni caso, questo ti consente di mantenere la tua identità all'indirizzo email ufficiale. Gli attacchi al server di accesso sono irrilevanti per la ricezione e l'inoltro della posta elettronica.

Come è evidente da quanto sopra, il tuo nuovo indirizzo email potrebbe essere evidente dalle intestazioni quindi non impostare una risposta automatica . Rispondi solo a persone di cui ti fidi. Se questo account e-mail del masterizzatore viene attaccato, elimina questo account del masterizzatore, configurane un altro e comunica al server e-mail ufficiale di inoltrarlo al nuovo masterizzatore.

Quindi, cerca a chi hai inviato la posta negli ultimi 2 giorni all'ultimo account del masterizzatore. Uno di loro l'ha compromesso. Usa una tattica o un'altra per indurli ad attaccare questo o un altro account del masterizzatore, che ti consente di distinguere chi l'ha fatto esattamente.

Oppure, se possibile, modifica il nome utente in modo che sia diverso dall'indirizzo.In questo modo rispondi dallo stesso indirizzo e hai la stessa casella di posta, ma previeni il blocco dell'account.
QUESTO (se solo fosse possibile) - btw questa esperienza ha evidenziato la follia dei siti Web che RICHIEDONO un indirizzo e-mail come nome utente - semplicemente stupido.
potresti provare a utilizzare + per aggiungere un suffisso per dominio.quindi quando ricevi spam, (molto probabilmente) includerà chi ha fatto trapelare la tua email.inoltre diventa facile bloccare tutte le email che provengono dal dominio
@sudorm-rfslash - Penso che il trucco del suffisso + potrebbe essere specifico di Gmail.
@sudorm-rfslash sì ... In realtà ho il mio server di posta configurato per utilizzare "_" come carattere "decoratore" o "suffisso".Poiché molti domini (soprattutto aziendali) utilizzano un formato first_last@example.com, anche i siti che rifiutano le e-mail con "+" accetteranno comunque felicemente un'e-mail con "_"!
@Justin è solo specifico per il server di posta.Molti server, * ma non tutti *, lo supportano.Non è definito da standard, ma è diventato una sorta di standard de facto;GMail lo ha appena reso popolare.
cybernard
2019-04-09 17:22:31 UTC
view on stackexchange narkive permalink

Dipende dal tuo provider e da cosa è disposto a fare.

Se avessi un IP statico potresti chiedere loro di inserire il tuo IP nella whitelist. Forse anche il tuo CIDR, ma se ne fai troppi, parte del traffico dannoso potrebbe iniziare a passare.

Dopo così tanti tentativi il tuo provider dovrebbe temporaneamente vietare gli indirizzi IP che li attaccano. Ora gli hacker hanno migliaia e persino decine di migliaia di IP tra cui scegliere, ma alla fine potrebbero essere in grado di bloccarli tutti.

Ovviamente il tuo provider ha bisogno di una migliore protezione ddos.



ⓘ
Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 4.0 con cui è distribuito.
Loading...