![我应该举报黑客行为吗?](https://linux22.com/image/537474/%E6%88%91%E5%BA%94%E8%AF%A5%E4%B8%BE%E6%8A%A5%E9%BB%91%E5%AE%A2%E8%A1%8C%E4%B8%BA%E5%90%97%EF%BC%9F.png)
我正在运行一个小型(基于 Windows)服务器。当我检查日志时,我看到源源不断的(不成功的)密码猜测黑客攻击尝试。我是否应该尝试将这些尝试报告给源 IP 地址的所有者,或者这些尝试现在被认为是完全正常的,而且无论如何没有人会费心去处理它们?
答案1
虽然答案可能在很大程度上取决于你试图通知的机构,但我认为一般来说你应该这样做。事实上,由于监控和响应我们组织的滥用邮箱是我的主要工作职责之一,我可以肯定地说,“是的,请!”。我与其他安全组织的成员进行了同样的对话,答案似乎主要包括:
- 如果 IP 上的 whois 信息显示是企业或大学,则报告
- 如果 IP 上的 whois 信息显示是 ISP,那么就不要担心
我当然不会告诉你到遵守这些规则,但我建议在报告方面谨慎行事。这通常不需要太多努力,而且能真的帮助了另一端的人。他们的理由是,互联网服务提供商通常无法采取有意义的行动,因此他们会将信息归档。我可以说,我们将积极追查此事。我们不喜欢网络上有被黑客入侵的机器,因为它们有传播的趋势。
真正的诀窍是规范您的回复和报告程序,以便报告之间以及员工之间保持一致。我们至少希望做到以下几点:
- 攻击系统的 IP 地址
- 事件的时间戳(包括时区)
- 您这边系统的 IP 地址
如果您还可以包含向您提示的日志消息样本,那么这也会很有用。
通常,当我们看到这种行为时,我们还会在最合适的位置设置最合适范围的防火墙阻止。合适的定义将在很大程度上取决于正在发生的事情、您从事的业务类型以及您的基础设施状况。它可能包括从主机上阻止单个攻击 IP,一直到不在边界路由该 ASN。
答案2
这是一种密码猜测攻击,也称为暴力攻击。最好的防御方法是确保用户密码强。另一种解决方案是锁定多次登录失败的 IP 地址。暴力攻击很难阻止。
答案3
正如 lynxman 所说,您真正能做的就是联系他们的 ISP 滥用部门并通知他们。我会在防火墙和服务器上阻止该 IP。其次,我还会在组策略中设置基于尝试的锁定(如果您有 AD)。只要您的密码很强大,我就不用担心,我有我运行以学习的服务器,并且我整天都在尝试登录。
答案4
不幸的是,这是完全正常的,大多数此类尝试都是通过其他同样遭到黑客攻击的服务器产生的。
您能做的最好的事情是,如果您看到这些攻击持续来自一个唯一的 IP 地址,并且您怀疑服务器遭到了黑客攻击,请向该服务器的滥用者/系统管理员发送电子邮件,以便他们能够解决问题,当您超负荷并维护数百个服务器时,很容易失去对服务器的跟踪。
在任何其他情况下,防火墙、过滤或忽略通常都是很好的做法。