Az idei ny\u00e1ron rekordokat d\u00f6nt\u00f6tt a forr\u00f3s\u00e1g, de nem csak a strandokon. A szervertermek \u00e9s a h\u00e1l\u00f3zatok is izzottak a hekkerek t\u00e1mad\u00e1sait\u00f3l haz\u00e1nkban \u00e9s k\u00fclf\u00f6ld\u00f6n egyar\u00e1nt.
\nAz \u00faj divat: brute force t\u00e1mad\u00e1s wordpress \u00e9s joomla oldalak ellen.
\nHa valaki most h\u00e1trad\u0151l \u00e9s legyint, hogy “engem ez nem \u00e9rint,\u00a0 \u00e9n m\u00e1s cms-t haszn\u00e1lok” sajnos neki is rossz h\u00edrem van. A t\u00e1mad\u00f3k nem nagyon v\u00e1logatnak. Sz\u0151nyegbomb\u00e1z\u00e1s elv\u00e9t k\u00f6vetik, azaz nem vizsg\u00e1lj\u00e1k t\u00falzottan, hogy \u00e9rdemes-e az adott weboldalt joomla, vagy wordpress exploittal t\u00f6rni, bepr\u00f3b\u00e1lj\u00e1k az egyedi fejleszt\u00e9seket \u00e9s m\u00e1s keretrendszereket is. A legt\u00f6bb esetben wp-login.php \u00e9s \/administrator\/index.php c\u00edmekre k\u00fcldenek POST requesteket, f\u00fcggetlen\u00fcl att\u00f3l, hogy l\u00e9tezik-e az adott domain t\u00e1rhely\u00e9n ilyen f\u00e1jl, vagy nem. Azt\u00e1n ha l\u00e9tezik akkor vagy siker\u00fcl az adott user\/password kombin\u00e1ci\u00f3val t\u00f6rni, vagy nem. Az eredm\u00e9nyess\u00e9g a prob\u00e1lkoz\u00e1sok mennyis\u00e9g\u00e9t\u0151l f\u00fcgg. Percenk\u00e9nt 500-1000 k\u00e9relemmel bomb\u00e1zz\u00e1k a szervert \u00e9s ez az\u00e9rt \u00e9rezteti hat\u00e1s\u00e1t. A szerver lassul, az sql kapcsolatok sz\u00e1ma el\u00e9ri a max connection limitet, a logf\u00e1jlokba \u00f6mlik a rengeteg request bejegyz\u00e9se, a szerver loadja felsz\u00f6kik. Az elm\u00falt id\u0151szakban nek\u00fcnk is feladt\u00e1k a leck\u00e9t az ilyen jelleg\u0171 t\u00e1mad\u00e1sok ez\u00e9rt musz\u00e1j volt megold\u00e1st tal\u00e1lunk r\u00e1.<\/p>\n
Megold\u00e1s a t\u00e1mad\u00e1sok csillap\u00edt\u00e1s\u00e1ra, blokkol\u00e1s\u00e1ra<\/strong>
\nA megold\u00e1s a t\u0171zfalunk felokos\u00edt\u00e1sa akt\u00edvan, folyamatosan, a forgalom f\u00fcggv\u00e9ny\u00e9ben. A t\u0171zfalunk \u00edgy akt\u00edvan v\u00e9di a t\u00e1rhelyeket.\u00a0 A szervereinken a webszerver szoftverek napl\u00f3f\u00e1jljait elemzi egy \u00fagynevezett IDS (Intrusion Detection System) \u00e9s a folyamatosan alak\u00edtott szab\u00e1lyainknak megfelel\u0151en “horg\u00e1szik” a logokb\u00f3l. Amint illeszkedik logbejegyz\u00e9s valamelyik sz\u0171r\u0151 szab\u00e1lyunkra a bejegyz\u00e9sben tal\u00e1lhat\u00f3 ip c\u00edmet a szerver t\u0171zfal\u00e1ban tilt\u00e1sra rakja. Fontos tudni, hogy minden szab\u00e1ly, amit \u00edrunk tartalmaz egy alapszab\u00e1lyt: Az adott szab\u00e1lyra illeszked\u0151 tal\u00e1lat ip c\u00edme nem lehet magyar illet\u0151s\u00e9g\u0171 (a t\u00e1mad\u00e1sok t\u00f6bbnyire nemzetk\u00f6zi zombih\u00e1l\u00f3zatokr\u00f3l j\u00f6nnek). Ehhez viszont az ip c\u00edmnek rendelkeznie kell reverse n\u00e9vvel. Ha az ip c\u00edm reverse neve nincs be\u00e1ll\u00edtva, akkor szint\u00e9n tilt\u00e1sra ker\u00fclhet.
\nAz akt\u00edv t\u0171zfal megold\u00e1sunk az elm\u00falt h\u00f3napokban rengeteg t\u00e1mad\u00e1st\u00f3l v\u00e9dte meg a n\u00e1lunk l\u00e9v\u0151 weboldalakat \u00e9s v\u00e9di ebben a pillanatban is.
\nA t\u00e1mad\u00e1sok DDoS alap\u00faak, azaz t\u00f6bb ip c\u00edmr\u0151l elosztottan \u00e9rkeznek, ez\u00e9rt nem el\u00e9g egy ip c\u00edmet tiltani, hogy meg\u00e1ll\u00edtsuk a t\u00e1mad\u00e1st, hanem minden ip c\u00edmet automatikusan tiltanunk kell, amelyr\u0151l t\u00e1mad\u00f3 jelleg\u0171 GET\/POST k\u00e9relem \u00e9rkezik. A v\u00e9delmi szoftver\u00fcnk beind\u00edt\u00e1sa ut\u00e1n legyek m\u00f3dj\u00e1ra kezdtek el kipotyogni a logb\u00f3l a t\u00e1mad\u00f3 sz\u00e1nd\u00e9k\u00fa kliensek ip c\u00edmei.<\/p>\n