ubuntuusers.de

Hallo zusammen,

wir haben hier im Netzwerk einen Ubuntu-Server mit einem nginx als Reverse-Proxy laufen. Dieder wurde von einem ehemaligen Kollegen aufgesetzt und dieser ist leider nicht mehr "unter uns". Leider fehlt auch eine enstprechende Dokumentation seinerseits zu der konfiguration des Servers als ReverseProxy.

Da wir hier alle sonst Linux-Noobs sind und nur rudimentäre Grundkenntnisse haben, sieht es natürlich bei speziellen Sachen etwas "mau" aus.

So haben wir hier eben den ngninx als Reverse-Proxy, der Zugriffe von außerhalb an verschiedene Destinationen innerhalb des Netzwersk weiter gibt.

Nun haben wir auf so einem System hinter dem Reverseproxy einen Angriff entdeckt, der seit Stunden tausende Anfragen schickt (auf bestimmte URLs des Systems, die ihm wohl bekannt sind).

Nun müssten wir die IP-Adresse des Angreifers zuerst ausfindig machen (hoffe in einem LogFile) und diese dann sperren. Dei Infos zum Sperren habe ich bereits (https://willy-tech.de/nginx-ip-adressen-blockieren/) gefunden. Denke damit müsste es gehen.

Aber wie komme ich an des LogFile? Wo finde ich dieses und kann die IP-Adresse ausfindig machen, die der Angreifer nutzt? Dann kann ich diese auch blockieren und den Angriff zumindest vorerst eindämmen.

Vielen lieben Dank schon mal.

Habe hier und im Netz schon gesucht, aber nichts gefunden, was mir weiter geholfen hat. Zumindest nicht wirklich...

Nogi schrieb:

Leider fehlt auch eine enstprechende Dokumentation seinerseits zu der konfiguration des Servers als ReverseProxy.

Was an der bestehenden Konfiguration ist den unklar? Wenn man die URL kennt, weiß man eigentlich recht schnell, welchen Eintrag aus den Dateien in /etc/nginx/sites-enabled/ das betrifft.

Aber wie komme ich an des LogFile?

Zugriffe sollten in der /var/log/nginx/access.log und den von Logdateien (Abschnitt „Logrotate“) verwalteten früheren Ständen zu finden sein. Zum Logging mit nginx steht eigentlich alles in der Dokumentation: https://docs.nginx.com/nginx/admin-guide/monitoring/logging/ und zum Rate-Limiting gibt es hier etwas: https://www.nginx.com/blog/rate-limiting-nginx/.

Da ein Angreifer vermutlich kein großes Problem damit hat seine IP-Addresse zu ändern, sollte generell von außen nichts (schon gar nicht ohne Zugangsschutz) zugänglich sein, das nicht für die Öffentlichkeit bestimmt ist.

Ich würde Dir noch empfehlen den Server mit fail2ban abzusichern. Ist zwar für Ubuntu 14.04 aber musst du eben auf deine Version umbauen.

https://www.digitalocean.com/community/tutorials/how-to-protect-an-nginx-server-with-fail2ban-on-ubuntu-14-04