Internet-Teergrube: Eine Nachbetrachtung

Vielen Dank für Ihre Unterstützung:
SemperVideo.de/...
Fragen und Antworten auf
/ sempervideo
www.patreon.com...
amzn.to/37WtJq5
github.com/RPi...
sempervideo.de/...

[@kaffeetrinker2710]

Jetzt bin ich bald 50 Jahre und ich finde diese Videos halten fit im Kopp.

[@olpqay]

3:06 den Satz hatte ich im Kopf schon beendet mit „... ganz ähnlich wie meine Kollegen.“ und mich dann doch sehr gewundert, dass ich falsch lag.

[@Stockmann110]

Verschenkte Chance 😅

[@muellerhans]

Bei 30MB in 80 Tagen sind die 5GB schon in etwas mehr als 35 Jahren erreicht!

[@themasterofdisastr1226]

Wenn man wissen will, wie viele Clients grad im Tarpit feststecken, kann man "ss -4 -t" benutzen und nach dem spezifizierten port sortieren

[@dertyp6833]

"...nur ganz kurz gezeigt..."

[@wizzardrincewind9458]

Tarpit ist irgendwie gemein. Ich bin mehr für "Teeren und Federn" von Bösewichten.

[@CottonInDerTube]

Wie witzig.

[@sadakazu_yoshikawa]

nur mal so ne frage.... hattest du das thema Tarpit nicht schon mal vor 1 2 3 4 jahren gehabt? Bezüglich proxmox... Der container selber reicht eigentlich wenn der mit 1GB festplatte und 512mb ram (theoretisch sogar nur 128mb) daher kommt... für die logdaten würd ich in den container ein zfs dataset mit rein mounten. Setzt natürlich voraus das zfs installiert ist bzw extra platten mit angeschlossen sind auf denen ein zfs dateisystem läuft.... in meinem fall sieht das ganze etwa so aus: System: 120GB SSD -> proxmox mit zfs + alle container (hab aktuell 8 container + 2 vms laufen und hab immer noch 80gb frei) Storage: 3x 4TB HDD im RaidZ1 als redundanten datenspeicher (zpool name raid) Backup: 1x 8TB USB3 HDD ebenfalls mit ZFS als backup storage auf dem pool raid einfach einige datasets anlegen: zfs create raid/pve zfs create raid/pve/lxc zfs create raid/pve/lxc/cTarpit jetzt noch ein quota setzten (die speichergröße also festlegen wie viel maximal an daten in das dataset darf) zfs set quota=5G raid/pve/lxc/cTarpit Im Container selber ein neues Verzeichnis anlegen: mkdir /mnt/tarpit anschließend auf dem proxmox host mit einem editor /etc/pve/lxe/XXX.conf (XXX ist die containeriD von dem Container) öffnen und folgende zeile einfügen: mp0:/raid/pve/lxc/cTarpit,mp=/mnt/tarpit Container stoppen Kurz ein backup vom container machen, das backup direkt zurückspielen ABER drauf achten das als Container typ Privigeliert ausgewählt ist, sonst kann der container die daten nicht mounten. Container starten.... Zack, läuft.... Hat eben den vorteil das man über zb. einem anderen container einen Fileserver bereitstellen könnte, mit dem man direkt auf genau diese daten zugreifen kann.... auch interessant für die NextCloud geschichte.... Auch mein plex server mountet so die daten aus dem raid... allerdings bekommt der plex die daten nur als ReadOnly filesystem.... nicht das jemand ausversehen was löscht.... hat insgesamt eben den vorteil, das man mittels zfsnap2 + cron regelmäßig snapshots der datasets machen kann.... Soll dann doch der cryptotrojaner zuschlagen.... durch die zfs snapshots sind meine daten dahingehend auf jedenfall gesichert....

[@loschwahn723]

für den ganzen "spaß" werden dementsprechend Miningrigs mitunter genutzt

[@madshadowpm]

Könntet ihr bitte noch ein Video über Smartphone Sicherheit machen ? Ich wäre euch echt dankbar falls ihr dafür Zeit habt !

[@youtubeEXIT]

Ganz kurz, 22 min? 😂🤣

[@SWATSniper02]

Sie sind anscheinend noch nicht lange dabei😅🤭

[@youtubeEXIT]

@@SWATSniper02 doch kenn des schon aber 22 min ist record oder ? :)

[@gangsta6700]

Was ist denn jetzt eigentlich aus unserer „schönen“ Zensurmaschine geworden wo alle großen Kabelanbieter jede Webseite sperren können ? Läuft das jetzt ruhig weiter und Keinen interessiert es mehr ?

[@123Suffering456]

Uploadfilter ist ja auch im Kommen, aber das scheint auch keinen zu interessieren.

[@Torekk]

@@123Suffering456 Weil der Uploadfilter Privatpersonen so gut wie gar nicht betrifft, sondern nur diejenigen, die kommerziell im Internet tätig sind. Heißt jeder Hinz und Kunz kann seine Memes immernoch hochladen, solange er damit kein Geld verdient. Klar nun könnte man ja argumentieren "aber KZbin schaltet doch jetzt bei jedem Werbung?", was richtig ist, aber deswegen bin ich als Privatperson noch lange nicht kommerziell unterwegs.

[@Torekk]

Bisher ist das ja nur eine simple DNS Sperre, die man mit dem Wechsel des DNS Servers umgehen kann. Sofern sich dort was ändert, wird definitiv ein Video kommen bzw. noch mehr Aufmerksamkeit.

[@Calvin420GetRektM8]

Wenn man nicht mehr in den Container kommt, weil man das Root-Passwort des Containers vergessen hat, kann man auch immer via "pct enter " sich als Root ne shell spawnen (via der Proxmox-Shell, nicht Container-Shell). Zudem kann man auch einfach den Root User deaktivieren, weil man via PCT ja dennoch rein kommt. also einfach als SSH root reaktivieren. bzgl. crontab... man kann auch das "su pi" weg lassen, wenn man crontab so startet: "crontab -e -u pi" - Bearbeiten vom Crontab des users PI.

[@ArztvomDienst]

Bei den regelmäßigen Srcen dürften dann auch shodan, censys, cyberscan usw. dabei sein.

[@RupertKandsperger]

Schon sehr interessant. Wäre es auch möglich, aufzuzeigen, wie man einen SSH-Honeypot aufsetzt und den dann konfiguriert, bzw. die Logdateien auswertet…

[@mbvalency]

tarpit ist doch schon ein SSH-Honeypot oder wie ist die Frage zu verstehen?

[@TheNachbarino]

@@mbvalency Nein, es sind separate Dinge. Ein Honeypot hat absichtlich irgendwelche offensichtlichen Sicherheitslücken und Logger, um zu schauen, was die Angreifer denn so auf der Maschine treiben. Z.B. damit man sich dagegen wappnen kann. Ein Tarpit verschwendet nur die Zeit der Angreifer, wie im Video zu sehen.

[@RupertKandsperger]

@@mbvalency Es gibt noch Honeypots, bei denen man nicht nur kleben bleibt, wie beim Tarpot, sondern die Angreifer sich „einloggen“ können. Man kann dann Benutzernamen, Passwörter, Linux-Befehle, und andere Dinge, die die Angreifer dann auf der Konsole treiben, loggen.

[@mbvalency]

@@RupertKandsperger Ok, das ist tatsächlich was anderes. Das wäre auch mal interessant zu sehen.

[@anonymunsichtbar3715]

Hat er glaube schon gemacht

[@serialkiller79]

"Da rennt einer dauernd vor die Wand und ist zu blöd das zu schnallen!" Bester Spruch! Kommt natürlich nicht gegen das markante "OK" am Ende an!

[@easysweb-de8499]

die 320 übrigen die nicht disconnectet wurden, sind sicher beim täglichen ip-wechsel verschollen gegangen.

[@bashinho]

oder noch aktiv gefangen während das Logfile ausgespielt wurde

[@jackmclane1826]

Könnte man die Flitzpiepen viel länger bei der Stange halten, wenn man es nicht ganz so sehr verlangsamt? Wenn man denen jetzt nach 9 Sekunden eine Passworteingabe erlaubt, und dann wieder 9 Sekunden... bis die durch ihre Bruteforce-Liste durch sind, kleben die dann viel länger fest, ohne dass die Bots abbrechen. Oder was übersehe ich hier? Ein sicheres eigenes Passwort natürlich vorausgesetzt.

[@jobcentertycoon]

Die brechen nach ein paar minuten einfach ab und gut ist.

[@jackmclane1826]

@@jobcentertycoon Vielleicht habe ich mich mit er Idee nicht klar ausgedrückt: Bots haben eine glasklare Abbruchbedingung. Und solange man die nicht erfüllt, brechen die nicht ab und bleiben in der Leitung. Die Frage ist: Was genau ist diese Abbruchbedingung? Wenn die z.B. 10 Sekunden ohne Antwort ist, dann könnte man nur 9 Sekunden verzögern und denen auf diese Weise viel mehr Zeit stehlen.

[@BuschFrankmann]

Wäre es nicht Sinnvoller, den Crontab als user "pi" zu editieren? Also "crontab -e -u pi". Aber so gehts natürlich auch. :)

[@HHTW4]

Danke für die mühe nach dem Stream noch so ein Video zu Produzieren

[@TecSanento]

Hatte immer gedacht dass man einen Docker Container irgendwie erstellen und kompilieren muss aber offenbar kann man ihn auch direkt konfigurieren wenn man eingeloggt ist..... fehlt da nicht der Vorteil dass man essen mit einem Mausklick zurücksetzen kann? Weil das Repository der docker-container enthält dann nicht die Einstellungen die du machen musstest

[@_TbT_]

absolut. So verwendet man Docker nicht. hub.docker.com/r/mtlynch/endlessh wäre ein Container der jederzeit killbar ist.

[@zjihf]

Bei mir wird das ganze von der Firewall geblockt und das ganze in Grafana dargestellt

[@ElfontLeBlonde]

Der Titel lässt nichts von proxmox vermuten.

[@renet.9854]

Und das nur auf einem Port. Damit kann man Kunden die sich in falscher Sicherheit fühlen zeigen was ohne eigenes Wissen auf der Firewall los ist...

[@NetaliDev]

Ich hätte das hübsch als systemd-Unit gemacht, dann läuft das ordentlich als ein Service und systemd kümmert sich auch um Neustarten und so

[@bashinho]

hmm, warum machst du whois über google und nicht direkt auf der bash?

[@garcipat]

wie konfiguriert man das logfile? Wird das autoamtisch geschrieben oder muss man den Befehl mit > erweitern?

[@EyelessLeech]

Die Frage hab ich mir auch gestellt.

[@juckendesAuge]

Hallo, 4:00, in der ssh config kann man angeben, ob root uberhaupt per ssh zugreifen darf. Ein Passwort wird nach Eingabe von root trotzdem erfragt. Von daher könnte man das für die teergrube doch auch so machen, dass eh alle ausgeschlossen sind per ssh. Ein login kann man, wenn man es unbedingt braucht, auch in die weise liste eintragen, und dann, nachdem man sich als user per ssh eingeloggt hat, per “su -“ zum root machen. Edit: Den Benutzernamen muss man ja auch erst mal wissen, um per ssh reinkommen zu können. LG juck.

[@SemperVideo]

Das was Sie beschreiben ist die Absicherung eines SSH-Zugangs. Das hat aber nichts mit einem Tarpit zu tun. Wenn es um Sicherheit gehen würde, würde ich gar keinen SSH-Zugang im Internet anbieten, sondern nur einen VPN-Zugang. Das ist dann sicher. Aber wie gesagt... darum geht es nicht. Es geht um das Tarpit.

[@juckendesAuge]

@@SemperVideo ok, vielen Dank. Dann schaue ich es mir nochmal an. Ich habe dann nicht verstanden, wozu man das sichere root Passwort überhaupt vergeben muss. Viele Grüße juck.

[@TheOriginalSebacrush]

Gibt es eigentlich noch diese Steam IT video stream platform?

[@garcipat]

Muss man den Port für ssh auch ändern? Wie kann ich überprüfen ob die Grube funktioniert? Wenn ich per ssh drauf will, unterbricht die Verbindung innert Sekunden mit Putty

[@Screaify]

Nur ganz kurz gezeigt Video 22 Minuten ok

[@macooznagiil282]

Hatte mir auch ein tarpit zu Hause im Container aufgesetzt. Nach einer Woche ohne eine einzige Fliege, die im Netz kleben geblieben ist, habe ich mal nachgeforscht. Meine Konfiguration: Internet -> Vodafone Connect Box -> Fitzbox -> Netzwerk. In der Fritzbox war die Portweiterleitung eingerichtet. In der Connectbox sieht es leider etwas düster aus: Portforwarding bei IPv4 ist da ausgegraut. Eine kurze Netz-Recherche ergab lt einer Webseite, dass Vodafone wohl Port 22 "aus Gründen" nicht mehr direkt weiterleitet. Oder hat da vielleicht jemand noch eine andere Idee? ... hab meinen PVE-Container noch nicht gelöscht :)

[@sebastianfreund]

Die Connectbox hat seit Monaten/Jahren einen saublöden Fehler, der die Portfreigabe generell verhindert. Vodafone ist nicht willens, diesen Fehler zu beheben. Er verhindert zB, dass man ein VPN aufsetzen kann, wenn man nur DSlite hat und ehemaliger Unitymedia-Kunde ist. Sehr ärgerlich.

[@AssaAlazif]

Find ich echt geil, dass du Proxmox vorstellst. Das erstellen von VMs und LXCs ist glaube ich abgefrüstückt. Wie wäre es jetzt Proxmox zu erweitern zB. mit MAAS, Ansible, Kubernetes und/oder juju?

[@keineahnung1919]

Jemand sollte man nen Tarpit machen der dem Angreifer vorgaukelt dass seine Abmeldeversuche erfolgreich sind

[@Dalmen]

Sowas gibt es und nennt sich "Honeypot"

[@Eres_estúpido]

Achso die Scannen nach offene Ports mehr oder weniger, und wenn sie durch Kommen, versuchen sie per Brute-Force hereinzukommen. (Harte Tour) Und per Script wird es dann aufgezeichnet. Wieso setzt man kein RZ für solche Dinge ein, um so etwas zu unterbinden? Und wieso wurde überall Daten von Linux Server geleakt?

[@SemperVideo]

Der normale Nutzer kann kein RZ für solche Dinge einsetzen, wenn ihm kein RZ zur Verfügung steht. Tarpit, kann aber jeder.

[@andreasobermeier6231]

Und auch hier wieder: Ein offener Port ist doch per Definition das Anbieten eines Dienstes. Warum dann ausbremsen? Macht ihr das auch wenn ihr eine passwortgeschütze Webseite habt (ewig langsamer Fakewebserver auf Port 80/443 mit "echtem" Webserver auf einem anderen Port) oder schaut ihr nicht doch eher dass das Passwort sicher ist (bzw. ein Zertifikat benutzt wird)?

[@mbvalency]

Das Tarpit soll böse Angreifermaschinen ausbremsen. Ob das viel bringt, sei mal dahingestellt. Ich finde eher die Technik und Überlegungen dazu interessant.

[@andreasobermeier6231]

Hier nur ganz kurz ;-) Theorie: Angriffe werden verlangsamt. Meine Behauptung: sollte das stimmen dann überlegen sich Angreifer eine andere Strategie (vgl. Emailspam: Viagra wird ausgefiltert? Dann schreiben wir V1agra und schon gehts durch). Der Sprecher selbst hat ja im Video erwähnt dass es die Angreifer nicht mal merken. Ob sie so dumm sind oder ob es daran liegt dass die paar verlangsamten Verbindungen nicht auffallen darf man selbst entscheiden. Kannst ja mal z. B. nachschauen wie viele Verbindungen dein Browser aufbaut für eine Website wie KZbin und dann hochrechnen ab wann es ein spezialisiertes Angriffsscript stören würde. Praxis: dieser Kanal richtet sich nicht an ausgewiesene IT-Profis (ok, das ist meine Vermutung). Es wird gezeigt wie man sich einen völlig unnötigen Angriffsvektor in seinem Netzwerk installiert. Problem 1: evtl. Fehler in der Konfiguration, Problem 2: evtl. Fehler im Programm. Mögliche Auswirkungen? Ich möchte nicht wissen wie viele Benutzer eine anonyme SMB-Freigabe in ihrem Netz haben weil es ja das eigene+sichere Netz ist und jeder im Haushalt soll problemfrei Zugriff haben. Tja, dann sind halt z. B. die Fotos von der Hochzeit auf einmal weg... erinnert mich irgendwie an eine Zeit vor einem Vierteljahrhundert als sich jeder "Pro" ZoneAlarm installiert hat und dann ganz stolz war dass sie so viele Bedrohungen abgewehrt hat - die ohne das Programm nicht mal Bedrohungen gewesen wären.

[@mbvalency]

@@andreasobermeier6231 Ja, kann deine Ausführungen nachvollziehen. Das Port-Forwarding halte ich für erprobt. Auf der Zielmaschine, die tarpit ausführt, könnte ein Fehler des Pythonprogramms tarpit evtl. den Zugang zur (virtuellen) Maschine ermöglichen. Dann hätte man die Rechte eines unpriviligierten Benutzers. Ansonsten hat wahrscheinlich nichtmal jeder 100.000 ste Rechner ein Tarpit installiert. D.h. nur die großen Fische, die großflächig angreifen, haben eine erhöhte Wahrscheinlichkeit in ein Tarpit zu fahren und dort eine Weile stecken zu bleiben. Dann bleibt eben dieser Worker(Thread) für ein paar Minuten stecken und kann in dem Moment keine anderen Systeme angreifen. Der Nutzen ist sehr begrenzt. Besser wäre, die Fälle zu melden, mit dem Ziel, dass diese Systeme vom Internet ausgeschlossen werden. Das scheint aber nicht zu passieren?!

[@joedemel4294]

was bedeutet die rote Zahl zwischen der IP-Adresse & connected/disconnected?

[@cabanossi]

Vermutlich der local Port des Angreifers

[@dopeonplastic369]

mal ne dumme Frage: Kann man mit einem 4 Kerner gleichzeitig mehrere Virtuelle Maschinen laufen lassen so das man auf z.B. auf insgesammt auf 8 oder 16 Kerne kommt. Also anderst gesagt: 4 Kerner Hardware und 16 VM´s mit jeweils 1 Virtuellen CPU zugeteilt. Ich könnte es auch konfigurieren aber ich denke Fragen ist einfacher ;-) Danke MfG

[@mondmichi94]

Ja ist möglich.

[@dopeonplastic369]

@@mondmichi94 Okay danke ;-)

[@franky12]

Könnte man dafür nicht ein *Dockerfile* machen, anstatt auf der Kommandozeile rumzufrickeln?

[@SemperVideo]

Sie können natürlich auch ein Dockerfile daraus machen.

[@mmilerngruppe]

16:55 fuck, jetzt hast du mich aber

[@matthiasdorrie9432]

Hat schon mal jemand versucht über die Ip's vom Log mal einen Portscanner drüber zu jagen :) ? Ich meine, dass das ja nur gerecht ist ;). Da is auch so manches "offen" .

[@snoopyhd869]

Aber Standartmäßig ist ja eh der root Zugang dich. Dann bekommen die doch eh kein Login zum Terminal zustande. Oder sehe ich das Falsch? Nachtrag... Die Abfrage kommt ja trotzdem aber wenn man das Root passwd eingibt kommt "Access denied" Weil der root Zugang von Außen immer gesperrt ist (Standard Einstellung)

[@Momper14]

Ich bin mir jetzt nicht ganz sicher was du sagen möchtest, daher decke ich mal beides ab. Der root Zugang sollte zwar überall dicht sein, ist er aber teilweise nicht. Es gibt genug unwissende die diesen öffnen. Ich meine bei manchen Distros ist dieser sogar standartmäßig aktiv. Aber für die Funktion des Tarpit's ist dies unwichtig. Dieses soll ja Anfragen auf Port 22 (standart SSH Port) entgegen nehmen und "unendlich" langsam den SSH Banner schicken. Dies passiert noch bevor überhaupt die Angaben zu Nutzername und Passwort passieren. Das Tarpit kommt also nie zu dem Punkt wo der eigentliche Login kommen würde.

[@SemperVideo]

Das was Sie beschreiben ist die Absicherung eines SSH-Zugangs. Das hat aber nichts mit einem Tarpit zu tun. Wenn es um Sicherheit gehen würde, würde ich gar keinen SSH-Zugang im Internet anbieten, sondern nur einen VPN-Zugang. Das ist dann sicher. Aber wie gesagt... darum geht es nicht. Es geht um das Tarpit.

[@dopeonplastic369]

Sorry aber bei mir geht die reboot config nicht hab das bei "crontab -e" eingegeben: @reboot su tarpit -c "nohup ssh-tarpit -a 192.168.1.50 -p 2222 -i 4 -f /home/tarpit/tarpit.log &" bin Linux noob :-D

[@tinotpunkt5178]

startet bei mir auch nicht automatisch nur wenn ich es dierekt in die Konsole eingebe laeufts

[@dopeonplastic369]

@@tinotpunkt5178 jupp so ist es bei mir ...aber der teerpot lauft wie sau, stichprobe mal whois ip raus gesucht : China ....

[@donaldduck6198]

Bleibt die Frage, warum dt ISP das nicht blocken.

[@Salzui]

Warum? Weil die ISPs dafür kein Gled bekommen, anders als bei CUII oder wie sich das schimpft.

[@mbvalency]

Das Blocken ist die eine Sache, aber wenn die IP danach einem anderen Rechner zugeordnet wird, der sauber ist, dann wird der auch nicht mehr geroutet. Davon abgesehen, frage ich mich aber das gleiche, wie du.

[@jobcentertycoon]

Weils dann ne menge false positives gäbe weil die IPs ständig wechseln. In China mag das egal sein aber hier würde das in einer katastrophe enden.

[@mbvalency]

@@jobcentertycoon Da ist schon was dran. Was die Angreifer aus China angeht - deren IPs scheinen wohl in dem Fall gleich zu bleiben.

[@yilmaztopcu]

2 Firma Vodafone Hacker beruhigt Firma Pforzheim Amtsgericht Anwalt Gericht

[@SchaelTeer]

wieso ist der ssh-tarpit überhaupt relevant?! sichert man die SSH-Verbindung nicht als erstes ab?! und sei es mit iptables auf die eigene ip eingeschränkt?! idealerweise natürlich nur Anmeldung mit Zertifikat etc. wozu also der mist?

[@mr_mice7734]

Naja, relevant ist der Tarpit in so fern, dass der Angreifer niemanden anderen angreifen kann, solange er in deiner Teergrube steckengeblieben ist und auf eine Antwort wartet. Du schützt nicht nur dein System sondern auch potentielle schlecht geschützte Systeme. Du kostet den Angreifer halt Zeit, Strom und Geld. Zumindestens habe ich das so verstanden.

[@SemperVideo]

Der "Mist" ist die perfekte Gegenmaßnahme für den Angreifer. Wenn das jeder machen würde, würden die Angreifer kaum noch offene Rechner finden. Weil sie in den Tarpits der anderen Rechner stecken bleiben. Ist ein wenig so wie die sog. "Herdenimmunität". Gibt es genug Tarpits... findet der Angreifer die nicht immunen Rechner nicht mehr oder nur sehr schwer.

[@0ZeldaFreak]

Ich finde auch Webseiten access log logging ganz nett. Mich interessieren da die 404er Anfragen besonders. Hab da nicht schlecht geguckt, wo der Useragent vermuten ließ, dass der Angreifer großer AFD Fan ist. Tarpit schön und gut, aber ich banne da doch lieber die Leute. Ist halt aber scheiße wenn man sich selber bannt. Ist mir jetzt schon zum 2. Mal passiert. Beim ersten Mal hatte ich den falschen Eintrag im Passwortmanager. Das 2. Mal war erst vor ein paar Tagen. Ich habe das kopieren verkackt und hatte so irgendwie 3 Retrys hinter mir und war gebannt. Zum Glück gibt es da kostenlose VPNs die mir da ne andere IP geben und es mir erlauben mich selber zu entbannen. Gut kostenlos hört sich blöd an, aber wenn ich da den kostenlosem von Proton nicht vertrauen kann, dann weiß ich auch nicht. Gut ich könnte meine IP da auf die Whitelist setzen (ist statisch), aber das mache ich absichtlich nicht. Übrigens die 2FA Änderung (war der eigentliche Grund warum ich auf meinen Server wollte), habe ich dann nicht übers VPN gemacht.

[@daskasspatzle2396]

Und wie ist das jetzt mit der Frauenquote?...

[@sebastianfreund]

Ich finde auch, dass er mehr „die AngreiferIN“ hätte sagen sollen

[@OfficialChiller]

@SemperVideo: Challenge zum Root-Rechte Privilegieren? :D *lach*

[@bliblabl8149]

Find ich nur tarpit damit vollkommen unnötig?

[@mbvalency]

es ist mehr eine Spielerei, als dass es großen Nutzen bringt - meiner Meinung nach. Wenn gemeldet würde und Sperren erfolgen würden, fände ich es sehr sinnvoll.

[@zocker1600]

​@@mbvalency > Sperren erfolgen würden, fände ich es sehr sinnvoll *nein* eben nicht, es ist genau der Sinn, den Angreifer eben *nicht* zu sperren, denn das Ziel ist die Zeit des Angreifers zu verschwenden. wenn man den Angreifer blockiert, dann kann er die Zeit nutzen, um andere anzugreifen, wenn man ihn aber stecken lässt, dann ist er in der Zeit ungefährlich

[@mbvalency]

@@zocker1600 Ich glaube wir reden aneinander vorbei. Wenn es ein Problem gibt, dann will ich die Ursache bekämpfen, nicht die Symptome. Ich gehe auch nicht in den Garten und versuche das Wachstum des Löwenzahn zu verlangsamen. Wenn ich den nicht da haben will, dann reiße ich ihn samt Wurzel raus. Heißt, besser als die Angreifer ausbremsen, wäre die angreifenden Rechner aus dem Internet zu entfernen oder deren Pakete in Frankfurt nicht weiter zu routen.

[@zocker1600]

​@@mbvalency ja nur ist das Bekämpfen der Ursache hier nicht wirklich möglich, denn die Rechner in China wirst du nicht abschalten können. Das Sperren in Frankfurt ist auch keine Lösung, denn dann greifen die halt jmd. anderes in USA oder Australien an. Wenn man die aber in einem Tarpit stecken lässt, dann verschwendest du Zeit und vorallem Geld der Angreifer, was auf Dauer deutlich effektiver ist.

[@mbvalency]

@@zocker1600 >Das Sperren in Frankfurt ist auch keine Lösung, denn dann greifen die halt jmd. anderes in USA oder Australien an. Das wäre eben die Frage, ob man das nicht besser gesteuert bekommt. Da sollte der Weg (wahrscheinlich Wunschdenken) eigentlich sein -> Meldung an China und China zieht denen den Stecker. >Wenn man die aber in einem Tarpit stecken lässt, dann verschwendest du Zeit Wenn die Maschinen mal ein paar Minuten in einem Tarpit stecken, dann geht es danach wieder mit voller Geschwindigkeit weiter. >und vorallem Geld der Angreifer, Der Betrieb der Maschine, die ein paar Minuten im Tarpit steckt. kostet kaum etwas. Und das schon in serieller Konfiguration (heißt die Maschine greift nur ein Ziel zur gleichen Zeit an). In Parallelkonfiguration wird der Betrieb noch günstiger. > was auf Dauer deutlich effektiver ist. Effektiv wäre die Angreifer auszuschalten oder die Pakete an einem Weltknoten wie dem De-Cix nicht mehr zu routen.

[@Lexi_]

Diese Chinesen, Nein Nein.

[@scoonie3541]

Chinesisches Botnet anmieten und genau diese IPs bearbeiten..

[@flyingsquirrel3271]

​@@SubBoss Wenn das lokale IPs wären, könnte man sie nicht bei google nachschlagen ;-)

[@flyingsquirrel3271]

@@SubBoss Wie kommst du darauf? Die IPs am Schluss hat er doch aus der Log-Datei. Und woher sollte der Tarpit Server irgendeine lokale IP eines Angreifers überhaupt kennen?

[@bashinho]

mein Video zum Deinem Tar-Pit ist online kzbin.info/www/bejne/qKKtXpZvfaqiorc

[@k3nny0r]

leider behandelst du deine Container immer wie VMs.. der Hintergedanke ist aber das man sich NICHT darauf verbinden will um das einzustellen.. dazu gibt es Dockerfiles oder fertige Images. Zeig doch mal sowas. Wenn man den Leuten da draussen immer zeig wie es falsch geht ist das nicht hilfreich.

[@SemperVideo]

Inwieweit behandel ich LXC Container wie eine VM? Da bräuchte ich ein Beispiel. Bin mir ziemlich sicher, dass ich die Container so behandel, wie es vom Entwickler gedacht ist.

[@k3nny0r]

@@SemperVideo Ich dachte das du hier mit Docker Containern arbeitest, da kann man die schön über ein Dockerfile provisionieren. Bei LXC Containern gebe ich dir recht. Sorry :(

[@zocker1600]

LXC Container behandelt man aber wie eine VM, denn es gibt eben keine fertigen Tarpit, Pihole, Nextcloud etc etc Container wie bei Docker, sondern eben nur OS Container für Debian, Ubuntu Arch etc. Die Installation der Software muss man weiterhin wie bei einer VM selber durchführen.

[@k3nny0r]

@@zocker1600 Das habe ich heute auch nachgelesen.. für mich wäre das nix, aber jeder wie er mag..

[@zocker1600]

@@k3nny0r ich stimme Dir voll zu, ich selber nutze auch fasr nur noch Docker, macht das Management von Software auf einem Server so einfach wie noch nie