Qual è lo scopo di questo tipo di "attacco"? La velocità è troppo lenta per eseguire una forzatura bruta efficiente e dubito davvero che qualcuno miri specificamente al mio minuscolo server personale.

La velocità è lenta, o il totale quantità di dati inviati è piccola? Potresti vedere le connessioni molto raramente, ma come fai a sapere che i robot che eseguono la forzatura bruta non saturano costantemente i loro uplink e il tuo sito è solo uno dei tanti attaccati? Non c'è alcun vantaggio per un utente malintenzionato di trascorrere un breve periodo di tempo cercando un sito alla volta (e innescando fail2ban), rispetto ad attaccare un numero enorme di server contemporaneamente, in cui ogni server vede solo connessioni poco frequenti. Entrambi possono avere la stessa frequenza di tentativi di autenticazione in uscita al secondo.

C'è qualcosa che posso fare contro di esso eccetto escludere l'intervallo IP completo di quel provider (o ignorare i messaggi, poiché le mie password sono forti) ?

Improbabile. È probabile che provengano da una botnet o da un cluster di VPS a basso costo. Non è possibile determinare quali altri intervalli IP possono essere utilizzati solo vedendone alcuni. Se non si trovano sulla stessa sottorete, non possono essere previsti. Puoi tranquillamente ignorare queste connessioni. Non è altro che il rumore di fondo di Internet.

Domanda 1 - A meno che non si tratti di una configurazione errata (come menzionato nei commenti), nella mia esperienza sembra che si tratti di attacchi automatici alla ricerca di account da cui possono essere inviate e-mail commerciali non richieste (o tentativi di phishing).

Domanda 2 - Se l'intervallo di IP da cui provengono i tuoi dati di accesso legittimi è sufficientemente piccolo e conoscibile, potrebbe essere più semplice bloccare tutto tranne quegli intervalli.

Gestisco una email di piccole imprese server, questo tipo di sondaggio avviene quasi continuamente per noi.

1 tentativo ogni 1-2 ore? Non è una forza bruta.

Forse è l'iPhone di qualcuno con una password scaduta. Probabilmente la tua! Oppure, se stai riutilizzando gli indirizzi IP di una società di hosting, il precedente "proprietario" potrebbe ancora avere qualche client di posta da qualche parte, configurato per andare [ora] ai tuoi IP.

Se hai gli indirizzi IP, il minimo che potresti fare è rintracciarli.

La pratica standard esistente di vietare gli IP che ripetutamente tentano di violare un sistema funziona solo contro attacchi mirati.

Una botnet può trovare un enorme elenco di server e distribuire sia chi sta effettuando l'attacco che chi attaccano tra le botnet. Il sintomo sarà un livello di background di tentativi di accesso falliti contro il tuo sistema, fino a quando uno non avrà successo, a quel punto distribuiranno alcuni kit che escono a root e aggiungeranno il tuo sistema alla botnet.

Tu può difendersi da questo in pochissimi modi.

Le password complesse sono una possibile difesa, ma devono essere associate a mantenere il sistema altrimenti protetto da attacchi non basati su password. Supponiamo che venga fuori che c'è un attacco di overflow / underflow del buffer sul tuo sistema di login; la botnet potrebbe essere cambiata per eseguire quell'attacco e eseguire il root di migliaia di sistemi al minuto, incluso il tuo.

Un'altra difesa potrebbe essere l'oscurità. Questi tipi di attacchi vanno dopo i frutti a caduta bassa. Modifica il tuo sistema di accesso per (diciamo) richiedere un ping a un particolare numero di porta prima di consentire i tentativi di accesso. Questa è puramente oscurità, ma improvvisamente smette di sembrare che ci sia un posto per accedere lì. Il costo è che ora devi creare un ping specifico per accedere da remoto. Oppure puoi inserire nella whitelist alcuni indirizzi IP da cui ti è permesso accedere da remoto.

Un ultimo approccio estremamente difficile sarebbe quello di generare un rilevatore di sistema di hacking delle password botnet distribuito. Proprio come i sistemi tengono traccia degli indirizzi IP che li attaccano, un sistema distribuito potrebbe tenere traccia delle botnet che attaccano chiunque. Aggiungi un sistema di flusso di fiducia e potresti costruire un'infrastruttura in grado di rilevare tali botnet che violano le password e fare in modo che tutti le blocchino.

Un tale sforzo richiederebbe anni di lavoro e probabilmente fallirebbe. Ma è qualcosa che potresti fare.

Autenticazione SASL PLAIN fallita: andb3db68ad.virtua.com.br non risolve l'indirizzo 179.219.104.173

Finché non hai l'autenticazione PLAIN abilitata per nessun utente, dovresti essere a posto. Inoltre, questo: b3db68ad.virtua.com.br non risolve l'indirizzo 179.219.104.173 ti dice che il dominio (i) è un dominio fasullo, poiché non si risolve sull'IP utilizzato. Un altro fallimento. Quindi potrebbe non provenire nemmeno da quel dominio. Puoi passare molto tempo con Postfix scrivendo regole per vietare questo genere di cose, ma alla fine la quantità di tempo che spendi supera di gran lunga il carico sul tuo sistema.