win 2008 server brute force

Merhaba Hamit bey, bu pek çok dışa açık web server için normal bir durum olup çoğu kez size özel bir eylem değildir, bunu engellemenin en iyi yolu bir Firewall satın almanızdır.

Hakan hocam kurusa bakmayın. Sağlık problemlerinden dolayı bir süre internetten ve iş yerimden uzak kaldım.
Güvenlik duvarı olarak Fortigate 1000A kullanıyoruz.Serverlarımız DMZ bacağında ve policyler tanımlı.Wan ve Localle yalıtılmış durumda.Açık olan portlarımız Ftp, Http, Https, Ssh, Ms-Sql, Mysql, Dns.
Esx server üzerinde win 2008R2 x64 enterpirise kullanıyoruz, tüm updateler güncel, güvenlik duvarı aktifti. Ayrıca Kaspersky virus koruma vardı üzerinde.Loglar içinde elimizde FortiAnalyzer 800B var.Aşağıda sorunla ilgili loglarıda yolluyorum.

 hata iletisini araştırdığımızda 2008 de media playerden kaynaklanan bir açık olgu söyleniyor.Ama bizim sistemde media player yok zaten gerekli güncellemelerin hepside var.İlk mesajı yazdığımızda bizim makinamız ip değiştirilerek deneniyordu.Şifrelerimiz komplex olduğu halde bulundu.Şimdi aynı olay bizim makinamızdan başka serverlara doğru oluyor.Serverı yeniden kurduk.Temiz kodlarla yayına açtık gene olmadı.Kodları gönderdiğimiz makinada trojen olarabilir, o kaynak yapabilir diye düşündük tarattık yine bişey yok.En az 4-5 virus korumada tarandı.Sayfamızı google ve norton ile taradık nafile.Sayfada sorun yok diyor.

 131.20 bizim makinamız.Diğeride kurbanlardan biri.

Eski serverda plesk vardı.Belki ondandır dedik.Yeni servera kurmadık.Artık tahmin yürütebileceğimiz bir yerde kalmadı.Ürünlere destek veren arkadaşlarda net bişe diyemedi.

Acil olarak yardımlarınızı bekliyoruz.
iyi çalışmalar.

Hamit bey öncelikle geçmiş olsun,

Sorun için size net bir soru soracağım, lisanssız bir ürün kullanıyormusunuz ? Bu winrar bile olsa yani her zaman adminlerin alışkanlığı vardır kurduğu programları hep bir yerden kurar ve format bile atıyor olsanız her aynı programları kurduğunuz için bu tür sorunlar olur, bu basit bir virüs sorunu aslında ve bunu çözümü forumda değil sizin dikkatinizde bitiyor, biz ne kadar buradan tahmin yürütmeye çalışsakta sistem sizin elinizin altında olduğu için en iyi çözümü siz veya size yerinde destek veren uzmanlar üretecektir.

Benim tavsiyem sadece eğer bu makine bir data center da ise aynı data center daki diğer makinelere de güvenmeyin derim belki bu tür bir atak içeridende geliyor olabilir.

Makinda sadece winrar ve bir browser var.Geri kalan herşeyimiz lisanslı.Bu olasılığıda düşündük hocam.Ne kadar malware adwaire varsa denedik.3-5 farklı firmanın virus koruması ile denedik birşey bulamadı. http://safeweb.norton.com  v.s sitelerlede web sayfamızı tarattığımızda yine birşey çıkmadı.Forti hatalı bir uyarımı veriyor diye kontrol ettik.Gerçektende biri sayfamızı ziyaret ettiğinde yeni bir sesion açıp bir yerlere hücum ediyor.Tahminim sayfamızdaki kodların bir yerlerine injection gibi birşey oluyor.Daha önceden çalıştığım kurumun serverında böyle bir sorun olmuştu.Dosyaları update ettiğimiz makinada trojen vardı.Sayfaları servera gönderirken aspx kodlarına ilave kodlar ekliyordu.Temiz kodlarla ve temiz bir makina ile sorunu çözmüştük.

Evet bu da bir ihtimal, kodları kim yazdı ?

Ben işin network kısmına bakıyorum. web tasarımcı bir arkadaşımız var.Kod kısmı ile o ilgileniyor.

Yeni birşey farkettik.Bu hata sitedeki png resimlerinden kaynaklanıyor.png resimleri serverdan sildiğimiz anda sorun çözülüyor, saldırı kesiliyor. Png resimlerini geri attığımız anda tekrardan başlıyor.Bu konuyla ilgili fikri olan varmı ?