Tentatives de connexion via admin

[pepe49]

Bonjour à tous,

depuis hier je suis victime d'un "pirate" qui tente désespérément d'accéder à mon serveur en passant par l'utilisateur admin.

Je précise que l'utilisateur admin, et après avoir suivi scrupuleusement le tuto sécurité de ce forum, est désactivé.

ce "pirate" se fait donc refouler systématiquement. Sauf qu'il doit utiliser un "robot" pour multiplier ses tentatives parce que mon serveur me signale des IP multiples provenant de divers pays et les tentatives se font toutes les 5 à 10 minutes grosso modo.

ma question est : comme l'utilisateur admin est désactivé, je ne risque vraiment rien ? parce que depuis 48h ça me donne 5 pages d'historique au niveau du conseiller sécurité ...

en vous remerciant,

[ml78]

Suggestion :

Dans le panneau de configuration > Sécurité > Onglet Compte
Activer l'Autoblock en étant un peu violent pour décourager le curieux du genre Tentatives :3 , avec 10 minutes (ou plus) quitte à  remettre des paramètres plus doux quand la situation sera de redevenue normale.

[pepe49]

il y a une heure, bliz a dit :

Question, l'attaque est elle en FTP ?

Bonjour @bliz et merci pour ton retour qui a tendance à me rassurer un peu

à priori non, d'après le module "conseiller en sécurité", c'est le protocole DSM qui est le service attaqué.

il y a une heure, ml78 a dit :

Activer l'Autoblock en étant un peu violent pour décourager le curieux du genre Tentatives :3 , avec 10 minutes (ou plus) quitte à  remettre des paramètres plus doux quand la situation sera de redevenue normale

bonjour @ml78,

l'autoblock est déjà activé avec un plafond que je viens d'abaisser à 5 tentatives au lieu de 10 mais ce malin doit passer par un VPN qui change son IP à chaque attaque ou presque je dirais... 

Il y a 1 heure, bliz a dit :

si tu es chez orange, essaye de relancer la box

@bliz, j'oubliais de te répondre à ceci : j'ai une adresse ip fixe donc un redémarrage de box ne devrait rien changer de ce côté là

[CoolRaoul]

On ouvre pas les ports 5000 à dsm sur internet,

Si le port 5000 est ouvert (et pas le 5001) la seule différence que ça fera en ce qui concerne les tentatives d'accès illégitimes sera que le traffic entre le pirate et le NAS ne sera pas chiffré (et donc en clair).
Ça ne rendra pas le service plus vulnérable à ce genre d'attaques par contre.

Bien entendu ceci n'empêche pas que pour les accès légitimes il faut absolument s'astreindre à utiliser le port SSL (5001), et donc ne laisser que celui-ci ouvert dans la box. Même avec un certificat invalide (autosigné): le traffic restera quand même chiffré. Même si c'est un poil moins sécurisé, on n'est pas à l'abri d'attaque de type "man in the middle" (passe plat) mais il y a peu de risques que quelqu'un se donne autant de mal pour détourner le traffic d'un serveur personnel à domicile.

L'option VPN suggérée est meilleure mais ça n'empêchera pas des possibles tentatives de connexion du même type (brute force), sauf que a sera sur l'accès VPN cette fois, (plus rare cependant). Par contre ça sera sans doute pas évident de se connecter par cette méthode, à l'improviste en cas d'urgence, voire à partir de son réseau d'entreprise.

Au delà de ça et en parallèle il est possible d'utiliser le firewall intégré pour limiter les accès exclusivement au pays de son domicile.
C'est pas parfait (je peux en témoigner) mais ça réduit considérablement les alertes de tentative d'intrusion.
Ne pas oublier aussi alors d'ouvrir le ou les ports requis par le VPN si on l'utilise, sur la box et dans le firewall (à moins de disposition d'un VPN intégré à la box).

[pepe49]

Merci pour vos réponses. après 7 jours de tentatives infructueuses, il semble que le pirate ai abandonné. ouf mais c'était pénible de se savoir attaqué même si le risque était faible.

je ne vais pas mettre mon NAS derrière un VPN, j'ai déjà fait une première tentative qui n'a pas été concluante, trop compliqué pour moi.

j'ai tout de même changé les ports 5000 et 5001 pour d'autres ports. j'ai cru comprendre que cela pouvait cacher un peu plus mon NAS ...