krakonos Aktuálně mi to pomáhá s velkým množstvím útoků na servery.
Viděl jsi vůbec co v tom seznamu je? Drtivá většina SMB, databáze (takže skeny na 1433 nejspíš), to vůbec nejsou služby které normální člověk vystaví do internetu. Následně, jaký dává smysl filtrovat něco co bude beztak (bez zbytečného zatěžování procesoru) dropnuto na konci chainu?
krakonos Ne všichni klienti jsou vzorní a zabezpečení jejich serverů není valné, denně jsem to s nimi řešil.
No a? Pokud tě platí za bezpečnost, potom to s nimi řeš systémově. Co když bude útočník u nich ve vnitřní siti na infikovaném PC, jak ta tvá komedie v takovím případě řeší bezpečnost klienta? A pokud tě za bezpečnost neplatí, proč děláš něco co si nikdo neobjednal a leda przníš síťovou neutralitu? Pokud tvá síť neunese těch pár bajtů navíc (nebo i hodně navíc, tam kde to končí amplifikací, ale pořád tolik kolik si zákazník zaplatil a má právo využívat jakkoli, i hloupě), běž se živit něčím jiným.
Zajímavé je že velká trojka slušných operátorů ať je jaká chce, tak tohle nedělá (pokud si to zákazník explicitně neobjedná jako službu), tuhle hloupost dělají jen vesničtí provideři. Jeden z hlavních důvodů proč s nimi kdekoli na ně narazím a mám možnost ukončuji smlouvy preventivně a nahrazuji normálním providerem, protože u svévolného filrtrátora nevím dne ani hodiny kdy ho napadne zablokovat legitimní provoz jen proto že to tupě převzali z nějakého soukromého blacklistu.
Poslední exponát takového chytrolína mému zákazníkovi zablokoval odchozí provoz na cloud2.mikrotik.com, protože mu to přišlo jako botnet - prý na to chodilo moc odchozích spojení :-) Dva měsíce před ním jiný chytrolín zablokoval příchozí port 80 se zahraničí, takže odstavil validaci LetsEncrypt certifikátů - ano, nějakým blacklistem, prý my ty LE servery moc lezky do sítě a "přetěžovaly síť". Před průšvihem mne zachránil zabbix který expirace hlídá. Další zablokoval příchozí provoz ze služeb typu shodan.io, takže zákazníkovi se na shodanu jeho síť jevila jako filtrovaná, ale fskutečnosti nebyla-tím ten chytrolín vytvořil rizikovou situaci.
Vzpamatuj se, Turris je router do domácnosti, nikoli pro profesionální použití, takto je nepochybně myšlen i ten blacklist-pro úplné BFU jako opatření typu "lepší než drátem do oka". Že to vezme a bude se snažit nasazovat profesionál a ještě k tomu na klienty, no to je absolutní úlet. Když už, proč jim rovnou nedoporučíš koupit Turrise?
Navíc Turris je dotovaný projekt, dotace musí mít nějaký výstup - ten blacklist existuje protože plní funkci výstupu dotace který se hezky publikuje - nikdo soudný nepočítal s tím že to někdo bude takto defektně nasazovat.
ludvik Nojo, to je sice hezká teorie ... ale pokud ti na službu dorazí D(D)oS máš s tímto přístupem v podstatě smůlu. Musíš tomu předřadit něco na úrovni IP.
Ty jsi se také nekoukal co v tom blacklistu je za služby, že?
ludvik pokud ti na službu dorazí D(D)oS
Ha turrisí hrůza ale nemá s DDoS ochranou nic společného. Ta filtruje převážne skenování SMB a SQL, takové to jak skript pošle jednou za týden požadavek s exploitem typu Sasser/Blaster, případně sto požadavků se sto nejčastěji použivanými hesly. To není DDoS, to je portscan, případně bruteforce.
Tazatel tímhle leda škodí - bezpečnost leda zhoršuje ("chrání") zákazníky přet tupými skeny, ale nijak je nechrání před cílenými útoky, a ještě jim dává falešný pocit bezpečí. Naopak to má nechat-ať si zákazník o to dříve všimne že se něco děje.
Doporučím tento přístup kamarádovi hospodskému - až mu zase přijede do hospody plný autobus a kuchař nebude stíhat, tak si z webu ministerstva zdravotnictví stáhne seznam že zdravé BMI je do pětadvaceti a zablacklistuje všechny tlusťochy, čímž sníží zátěž kuchaře (ale přitom tlusťochy zkasíruje za plnou cenu). A bude drze tvrdit že to udělal pro zdraví hostů. protože ti s vysokým BMI by beztak tolik jíst neměli.
Také teď dost řádí https://www.nukib.cz/cs/infoservis/hrozby/1739-upozorneni-na-aktivni-zneuzivani-zranitelnosti-microsoft-exchange-server-proxyshell/, co kdybys zákazníkům preventivně zablokoval příchozí tcp/443, aby jim nemohl nikdo napadnout exchange? Logiku by to mělo stejnou jako tenhle blacklist.
