Preventing Brute Force Attacks!!!!!

Hi, Sham, and welcome to the User BB!

Interesting question.  My guess is that this needs to be handled with a function of the SFTP server, as it is the only entity that knows of the login failures.

In some cases, you might want to upgrade to Astaro V8 so that you can do 'Country Blocking' (there are many other good reasons to upgrade!).

In many cases, you can just block a few /24 networks:

- Create a 'Network Group' "Public Addresses" containg the "(Address)" objects for all 'Additional Addresses' and the primary IPs of all external interfaces.  You must use these objects, and not manually-created 'Host' or 'Network' definitions.
- Create a group "Hackers" containing the offending networks.
- Create a 'Packet Filter' rule: 'Hackers -> Any -> Public Addresses : Drop'.

Let us know what you do to solve this issue.

Cheers -  Bob
PS Oh, I just internalized the fact that you're using a DNAT for the traffic.  I think the Packet Filter rule wouldn't be recognized.  There are two other possible solutions:

-Instead you could make a DNAT above your DNAT for the SFTP server: 'Hackers -> {SFTP services} -> Public Addresses : DNAT to {non-existent internal IP}.

-Instead of the new DNAT, you use not the 'Automatic Firewall rule' in the DNAT for SFTP, and, instead, use Packet Filter rules with 'Hackers -> Any -> Any : Drop' above 'Internet -> {SFTP services} -> {SFTP server} : Allow'.

Thank you, Bob 

We will look into the suggestion provided by you and will mention the outcome.

Not related to your issue, but talking about brute force attacks: in my opinion Astaro should implement a system against brute force attacks directed to ASG services (such as smtp proxy, vpn, and so on...). At the moment this feature is present but protects only webadmin (and perhaps ssh).

If you want, you can vote this feature request: Authentication: Lockout/Ban IP for Failed Login

- Create a 'Network Group' "Public Addresses" containg the "(Address)" objects for all 'Additional Addresses' and the primary IPs of all external interfaces.  You must use these objects, and not manually-created 'Host' or 'Network' definitions.
- Create a group "Hackers" containing the offending networks.
- Create a 'Packet Filter' rule: 'Hackers -> Any -> Public Addresses : Drop'.

Let us know what you do to solve this issue.

Cheers -  Bob
PS Oh, I just internalized the fact that you're using a DNAT for the traffic.  I think the Packet Filter rule wouldn't be recognized.  There are two other possible solutions:

-Instead you could make a DNAT above your DNAT for the SFTP server: 'Hackers -> {SFTP services} -> Public Addresses : DNAT to {non-existent internal IP}.

-Instead of the new DNAT, you use not the 'Automatic Firewall rule' in the DNAT for SFTP, and, instead, use Packet Filter rules with 'Hackers -> Any -> Any : Drop' above 'Internet -> {SFTP services} -> {SFTP server} : Allow'.

Hi Bob,

This seems overly complicated.
As long as one is not using the "auto packetfilter rule" on the DNAT, then network definitions/groups, and a DROP PacketFilter rule BEFORE the ALLOW rule would suffice.

Barry

Sham, 
If the server doesn't support any anti-bruteforce tactics, then consider running the SFTP server on a non-standard port; that would greatly reduce the # of attacks.

Barry

Thanks, Barry - I was thinking about a situation where we had several groups of Chinese hackers trying lots of different ports.  I think your first idea was my last idea after I filled that post with things irrevelant to Sham! [;)]

Cheers - Bob

Yeah... looks like the quoted text updated after I posted [:P]

Barry

Thanks everyone for their input!!

block ping 

i check to ping form firewall in case i need to ping from firewall to routes .....etc rest i uncheck all in ICMP

create a rule in network security> firewall 

internal ping : Internal (Network) to Internal (Address) (your gateway address) 

or more tight if you want to ping form specific pc only 

3rd put ssh and web admin setting internal network only and disable ssh if you dont use

4th make login attempts 3 and increase blocking time 

like sir BarryG suggested country blocking great feature   block whole china LOL

Astaro IPS detects some brute force attacks as against POP3 for example, but only logs warnings, no drop...

Against unspecified script kiddie pw attacks after portscans does the anti portscan feature help. lowered significantely brute force attacks against my FTP server - if they don't see the FTP server in a fast, non sophisticated scan, no attack ;o)

But there is no Effective countermeasure for most published services against brute force attacks. Sadly Log Management wasn't released. I created there some rules which send me mails, if for example failed logins occurred on my published RDP Server...Hope for a fast revival of the Log Management.

Wer Schreibfehler findet, darf sie behalten. Wenn ich via IPad poste, sind Verschreiber und grammatikalische Aussetzer irgendwie an der Tagesordnung.