- postfix-users - list.sys4.de

[postfix-users] spamhaus blockt: master. cf
by Patrick Ben Koetter via postfix-users 10 Oct '13

10 Oct '13

Mal was amüsantes am Rande... :) <http://www.spamhaus.org/dbl/removal/record/master.cf> -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 03 Oct '13

03 Oct '13

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Am 02.10.2013 18:49, schrieb André Loos via postfix-users: > ... Eine vermutlich nicht neue Idee wäre, die > POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu > legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder > SMTP-Server der Benutzer und somit nicht für XY-Hacker > offensichtlich. Man könnte somit alles ablehnen, was sich am MXer > zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" > Gedanken oder Tutorials? wird wahrscheinlich nicht viel aendern auf die Dauer, aber evtl kurzfristig helfen. > > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André > > _______________________________________________ postfix-users > mailing list postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > Best Regards MfG Robert Schetterer - -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.11 (GNU/Linux) Comment: Using GnuPG with Thunderbird - http://www.enigmail.net/ iQEcBAEBAgAGBQJSTQcvAAoJEP8jBObu0LlEjc4IAMZsxYHyQHOtqcZY5DNySPFk cOTojjYY1D/K4q9ajb1/Mx2OX6ZhfcLbEt0F9Dwr39bG5aMiNrGGZ6W32xjfwToQ pkBtSsdvrwBUqY1KcV36eM1jPHVQP73jnYmF0SonAST56KU0qujxNHh3jSbUhm53 7kIg4bFiRH5OCIyaQY+lXrPDGm1f6rjK5DsCRE2hcfyXjt/p3W/rMRyumNpC3eSA BdlGfKEI0iFCS5zOIJtv5GeriSxuO02MkJl005KqPlEnSRdww6b6RLVBOLgFG/Jk VZ2ntO+7/31actwHT4iJ20CY3aVnfHovAd8A1iZRwFQSkJYCKg6M3VHYNkRUWSE= =2Pub -----END PGP SIGNATURE-----

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 02 Oct '13

02 Oct '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > ... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf > einen anderen Server bzw. IP zu legen. > Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer > und somit nicht für XY-Hacker offensichtlich. > Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren > versucht ... Darauf komme ich in ein paar Tagen/Wochen zurück. Ralf und ich haben da ein wenig mit Spammern gespielt. Genaues dann wenn wir das im http://blog.sys4.de lesbar aufbereitet haben werden. :) > Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Du kannst die IP, auf der der Server AUTH anbietet, verstecken, aber es wird nur eine Frage der Zeit sein, bis port Scanner herausgefunden haben, dass dort ein SMTP-Server lauscht, der AUTH anbietet. Dann geht alles wieder von vorne los. Meine Haltung ist: Es wird immer passieren. Sie werden es immer versuchen. Wir legen - wann immer die Kunden das mittragen - eine sinnvolle Passwort-policy fest. Wir bieten den Kunden Trainings/Vorträge an, damit ihre Mitarbeiter auf Phising-Missbrauch etc. sensibilisiert sind. Wir monitoren die Dienste und das Sendeumfeld zusammen mit Partnerunternehmen auf Anzeichen für Mißbrauch. Wir sperren Konten sobald sie kompromittiert sind. Ich kann es nicht verhindern. Aber ich warte auch nicht bis es mich erwischt. Ich bin vorbereitet. > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André ACK p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by André Loos via postfix-users 02 Oct '13

02 Oct '13

... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer und somit nicht für XY-Hacker offensichtlich. Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Dank nochmals an Patrick und Robert! Schönen Feiertag denen, die Morgen frei haben :-), André

1 0

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 01 Oct '13

01 Oct '13

Am 30.09.2013 21:50, schrieb André Loos via postfix-users: > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. > > Herzliche Grüße, André Hallo Andre, leider helfen Vergleiche da wenig, wenn deine Domains nun mal angegriffen werden , ist es halt so, trotzdem deine Werte sind nicht aussergewoehnlich, ich fuer meinen Teil analysiere die brute Force Versuche taeglich, und eigentlich mache ich mir nur dann Sorgen wenn auf existierende Mailboxen Angriffe erfolgen mit halbwegs realitaetsnahen Passwoertern ( also zb nicht 123456 etc ) erfolgen, dann sehe ich mal nach woher die Ips stammen ( China etc ) , dann kommt es auf den Kunden an , ich hab als Erstmassnahme auch selbst schon mal die Passwoerter geaendert, wenn mir etwas "spanisch" vorkam. Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > Leider laufen bei mir die meisten Versuche/Tests, eine gültige > Konto-Passwortkombination zu erlangen, per sasl ein. Nur für das Protokoll: Bei IMAP ist es auch SASL (Simple And Secure Layer). Tatsächlich stammt es sogar originär aus der IMAP-Ecke. > Fehlgeschlagene Logins oder Tests per pop3/imap sind tatsächlich viel > weniger. Ich vermute hier, dass die Angreifer sehr wohl wissen, dass in den > maillogs die sasl-auth nicht so informativ ist, wie von "uns" gewünscht. Echt? Also ich komme zu einem anderen Schluss. Ich denke, die suchen Relays über die sie senden können. Das kann halt nur SMTP, wenn man jetzt mal die LEMONADE-Extentions in IMAP ausser acht läßt. > Weiterhin habe ich selbst Sendeversuche (im Log als sasl) mit falschem > Passwort gestartet. Das, was dann anschließend im Log zu finden ist, ist das > mimecodierte Wort "Passwort=UGFzc3dvcmQ6". Jedoch nicht das falsche Passwort > an sich bzw. gar der Benutzername, mit dem das Konto getestet wurde. Weder der Postfix policy(8) service noch das MILTER API geben Auskunft über das AUTH Passwort, das gesendet wurde. Eine eigene, programmierte Lösung fällt also flach. Dir bleibt also nur, das LOG auszuwerten und nach "authentication failed" zu suchen: 2013-09-30T04:12:47.500147+02:00 joliett postfix/submission/smtpd[4618]: warning: unknown[xxx.xxx.xxx.xxx]: SASL LOGIN authentication failed: UGFzc3dvcmQ6 Die IP hast Du ja dann und auf die kannst Du reagieren. > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. Auf einem System mit einem Vielfachen an Domains hatten wir heute 5 AUTH Tests auf SMTP. Woran das liegt? Spontan habe ich keine Antwort. Ausschlaggebend finde ich die Folgefragen auf die Tests: Wieviele gelingen und wieviele können anschliessend Schaden anrichten? Wenn beides Null ist, dann würde ich wachsam bleiben und für den Moment zähneknirschend hinnehmen, dass da andauernd irgendjemand versucht unser System zu exploiten. Grüsse p@rick > * André Loos via postfix-users <andre.loos(a)cogaa.de>: > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban > installiert. > > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu > > gestalten, dass mir ersichtlich ist, mit welchem Konto das Login > > (pop3/imap/sasl) gescheitert ist? > > mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass > man es einfach dahingehend erweitern kann. > > Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann > bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf > würde > sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es > wegwarf...) > > > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch > > mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > > In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist > und auch den "user=<>": > > 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login > (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, > rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > > > > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > > Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den > Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit > dabei. Nicht schön, aber effektiv. > > p@rick > > > > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern > > getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > > Im mail.log finde ich derzeit bei einem gescheiterten Login keine > > genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem > > erfolgreichen Login. > > > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > > > André Loos > > > > _______________________________________________ > > postfix-users mailing list > > postfix-users(a)de.postfix.org > > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > -- > [*] sys4 AG > > http://sys4.de, +49 (89) 30 90 46 64 > Franziskanerstraße 15, 81669 München > > Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 > Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer > Aufsichtsratsvorsitzender: Florian Kirstein > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

André, * André Loos via postfix-users <andre.loos(a)cogaa.de>: > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass man es einfach dahingehend erweitern kann. Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf würde sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es wegwarf...) > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist und auch den "user=<>": 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit dabei. Nicht schön, aber effektiv. p@rick > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 2

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 29 Sep '13

29 Sep '13

Am 29.09.2013 13:22, schrieb André Loos via postfix-users: > Hallo Miteinander, > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > gugg mal http://sys4.de/de/blog/2012/12/28/botnets-mit-rsyslog-und-iptables-recent-m… http://sys4.de/de/blog/2013/04/17/monitoren-und-alarmierung-von-brute-force… bringt dich evtl auf weitere Ideen Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 1

[postfix-users] Postfix + fail2ban
by André Loos via postfix-users 29 Sep '13

29 Sep '13

Hallo Miteinander, ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) gescheitert ist? Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf welches Konto eine inszenierte Attacke es gerade abgesehen hat. Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen Login. Euch vielen Dank für Tipps, Ideen oder andere Strategien ... André Loos

1 0

[postfix-users] Frage Postfixregel zu RBL
by Stephan Jacob via postfix-users 23 Sep '13

23 Sep '13

Hallo Postfixgemeinde, ich möchte eine Regel implementieren die eine Mail (Client) blockt wenn die IP auf mind. 2 RBLs steht. Wie mache ich das? Ich habe in meinen smptd_restrictions mit reject_rbl_client verschiedene RBLs eingebunden. Sobald die Client-IP auf einer der Listen steht wird die Mail sofort geblockt. Das entspricht ja dem erwarteten Verhalten. Jetzt will ich aber erst blocken, wenn die Client IP noch auf mind. einer zweiten Liste vorhanden ist. Über den Sinn bzw. Unsinn solcher einer Maßnahme kann man sicher diskutieren. Es wird bei uns jetzt allerdings für bestimmte Domänen erwünscht (die Domänen-Abhängigkeit kann ich dann ja mit einer eigenen Restriction-Class umsetzen). Über Anregungen würde ich mich freuen. Danke und viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2