wurde gehackt - Nachverfolgung?

[cJlD2ENp4PoPQ]

Ich würde mir, solange nicht erkennbar ist das einer drauf war, keine Gedanken machen. Derartige Angriffe laufen ständig und wenn du fail2ban drauf hast und ein einigermaßen sicheres Passwort hast, haben die keine Chance.

Die nach verfolgung kannst du dir auch sparen und IP Bereiche oder Domains sperren ist auch häufig nur hinderlich. Es handelt sich nämlich um ein Botnetz und nicht um ein Angriff eines Hosts.

Ich empfehle dir keine Standardnutzer und Standartports zu verwenden. VPN sollten nur von definierten Hosts aus erreichbar sein, sowie SSH nur über VPN. So musst du nur einen Port schützen.
Eine Firewall mit intrusion detection ist auch sinnvoll. Die erkennen bruteforce, portscans und unerwünschte Logins. Um die Sache rund zu machen sollte eine Firewall auch ein dedizierten, speziell gesicherter Host im Netzwerk sein, der nicht erreichbar ist und auf den nur die Firewall läuft.

 

[p4n0]

Woher weißt du eig. dass der Angriff erfolgreich 'Abgewehrt' wurde, wenn du nichtmal weißt ob ueberhaupt jemand drauf war? ^^

IdR spammt die Kiste drauf los, wenn jemand drauf war... Wenn n mailer drauf ist mal die mailq checken. Ansonsten Pakete auflisten welche installiert wurden.

Was er genau in deinem Netz gemacht hat lässt sich schwer nachvollziehen.. Außer das Ding haengt an nem gesondertem Firewallport auf der permanent gedumped wird, wovon ich allerdings nicht ausgehe.

Im Zweifel neu aufsetzen, ssh nur per keys zulassen und userlogins per passwort deaktiveren, auch root.

Grueße