LINUX.ORG.RU
решено Форум — Security  

Почему разная активность в разных датацентрах?

 


0

1

Есть 2 VPS под управлением Debian Wheezy. VPS идентичны друг другу, так как созданы один из снапшота другого, но находятся в разных ДЦ одного провайдера. Один из этих ДЦ, по моему впечатлению, значительно более популярен и раскручен, чем другой.

На обоих виртуалках snort ежесуточно отчитывается о различной активности. В более популярном ДЦ отчеты кишат подобными и другими уведомлениями: 

SCAN UPnP service discover attempt
ICMP PING NMAP
EXPLOIT ntpdx overflow attempt
ICMP PING BSDtype
ICMP PING Flowpoint2200 or Network Management Software

А в другом ДЦ, который менее популярен (как мне кажется), тишина. Отчеты содержат только знакомые мне адреса и ничего дискомфортного.

Как можно объяснить такую разницу?

Deleted

Последнее исправление: Deleted (всего исправлений: 1)
← Использование чужого $SSH_AUTH_SOCK
ограничить кол-во исходящих подключений к провайдеру на порт 25 ? →

Ответ на: комментарий от ziemin

Нет, это совершенно разные адреса, ничего общего вообще нет ни с моим, ни между ними. «ntpdx» встречается просто регулярно с разных адресов.

Deleted
()
Ответ на: комментарий от Deleted

Значит до тебя на одном из ip висел какой-то ресурс, на который все и ломятся. Я не слышал про «карантин» ip, да и пулы худеют на глазах, так что скорее всего сразу по освобождению идут в дело.

ziemin ★★
()
Ответ на: комментарий от ziemin

Как быть? Клонировать на другой ip? Или вообще в другой регион? Или у другого провайдера настроить то же самое?

Deleted
()
Ответ на: комментарий от Deleted

От «реликтового излучения» интернета ты никуда не денешься. Своевременно обновляйся и забей на пугающие записи в логах.

Не паникуй, короче.

entefeed ☆☆☆
()
Ответ на: комментарий от entefeed

От «реликтового излучения» интернета ты никуда не денешься. Своевременно обновляйся и забей на пугающие записи в логах.

Всё нормально, продолжаем дальше плакать, колоться и жевать кактус жевать.

Топикстартеру: может быть активность на IP? От того что они разные, такая разница.

oskar0609 ★
()
Ответ на: комментарий от oskar0609

О нет, у меня в логах нашелся мимобот, срочно переезжаем в другой ДЦ, меняем проекту домен, цель и назначение, а себе паспорт, цвет глаз и пол.

Тебя правда так напрягают сканирования ботов?

entefeed ☆☆☆
()
Ответ на: комментарий от entefeed

Дело не в панике. Дело в разнице. Меня даже скорее напрягает тишина на втором, а не шорох в логах. Эта тишина была с самого начала.

Deleted
()
Ответ на: комментарий от Deleted

Всегда есть шанс напороться на такое же. Да и в чём собственно проблема? Ломятся на реальные сервисы (которые у тебя есть) или просто перебирают? Руби всё, что тебе не нужно b snort настрой чтобы только на реальные реагировал.

ziemin ★★
()
Ответ на: комментарий от Deleted

В смысле адреса 1.2.3.4 и 5.6.7.8, на 1.2.3.4 могут стучаться боты по «инерции».

oskar0609 ★
()
Ответ на: комментарий от Deleted

Ну попробуйте со своего компа посканировать этот второй сервер с пустыми логами. Если в логах будет пусто, то либо логи не пишутся, либо датацентр прикрывает.

А обычное дело, ИМХО, — это то, что везде всё по разному и не пойми где как.

mky ★★★★★
()
Ответ на: комментарий от mky

Ну, в общем

либо датацентр

А что ж тогда другой дц (который первый) не прикрывает? Это закладывается на этапе проектирования и потом не добавить? Второй дц был создан позднее.

Deleted
()
Ответ на: комментарий от Deleted

Добавть то можно, но это расходы, денег всем жалко. А может, эта железяка Cisco ASA (обычное ей делают подобные вещи) есть, но 100500 причин почему она не работает, — сгорел блок питания, неправильно настроена, не туда воткнули, не справлялась с нагрузкой и её отключили...

Те компоненты, без которых всё работает, обычно в таком не понятном состоянии.

ИМХО, вам проще написать в техподдержку, чем тут гадать, почему там есть, а тут нет.

mky ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Использование чужого $SSH_AUTH_SOCK
Security
ограничить кол-во исходящих подключений к провайдеру на порт 25 ? →