Hi, Ihr... 😉 Als IT-affirmer Hobby-Nutzer habe ich ein grosses Interesse an möglichst umfangreicher Sicherheit. Deshalb habe ich mein Heimnetz ein wenig erweitert: **Hausanschluss Swisscom Internet-Box 3 Synology RT2600ac im Bridge-Modus Heimnetz und WLAN** Auf der IB3 ist unter den Firewall-Einstellungen "strikt" aktiviert. _"Alle eingehenden Verbindungen werden blockiert. Davon ausgenommen ist eine Gruppe von Standardprotokollen."_ Ich gehe deshalb davon aus, dass 1. die Swisscom als mein Provider bereits umfangreiche Schutzmassnahmen installiert hat, bevor sie Datenpakete an mich weiterleitet. 2. die IB3 eventuell durchgeschlüpfte Risiken dann blockiert. **Warum aber meldet mir die RT2600ac täglich ca. 300 "Angriffe", die als "hoch gefährlich" kategorisiert sind?** Für die Threat Prevention wird der "ET Pro Rule-Set" von Proofpoint genutzt. Gemeldet werden "Web application attacks", "Potential Corporate Privacy Violation", "A Network Trojan was Detected".. und vieles mehr, das geblockt wird. Ohne den zusätzlichen Router hätte ich davon gar nichts bemerkt. Leider kann ich nicht einschätzen, ob es sich dabei um ernstzunehmende Bedrohungen handelt, die Schaden hätten anrichten können. Oder um "Fake-Bedrohungen", die sowieso ohne Konsequenz gewesen wären. Wenn ersteres der Fall ist, dann stellt sich natürlich die Frage, warum diese "Angriffe" von Swisscom und IB3 weitergeleitet werden. Ich würd mich riesig freuen, wenn mich da jemand aufklären könnte!.... 🤔 LG Hendrik

[i]Dieser Beitrag hat keinen Inhalt.[/i]

\- In welche Richtung werden die "Angriffe" und Trojaner detektiert (incoming oder outgoing)? \- Betreffend "Web application attacks": Gibt es dazu in den Logs mehr Details z.B. die Source-IP und Ports? \- Betreffend "Potential Corporate Privacy Violation": Hier könnten allenfalls Service-Protokolle für die TV-Box einen Fehlalarm auslösen (aber auch darüber sollten die Logs mehr Auskunft erteilen -> IP-Adressen, Ports,...) \- Hast du die Fehlermeldungen auch, wenn das Heimnetz (inkl. WLAN) komplett "abgehängt" ist? Die Frage aus folgendem Grund: Ein Bekannter hatte auch suspekte Fehlermeldungen auf der FW. Letztendlich wurden diese von einem Smart-TV ausgelöst welcher in der halben Welt herumkommuniziert hat und von der FW als suspekt eingestuft wurde.

Hi, hed... Die "ausgehenden" Pakete habe ich schon ignoriert... meistens Microsoft-Server, Amazon etc. Zu Deiner letzten Frage: Die eingehenden"Angriffe" kommen auch, wenn alles andere schläft! z.B. Angriff direkt auf den Router von IP 175.158.218.12 um 04:49:30 per "ET EXPLOIT Possible ETERNALBLUE Probe MS17-010 (MSF style)". TV-Boxen sind beide momentan ausgeschaltet. Trotzdem "Angriff" auf meinen Laptop von IP 2.22.155.19 per "ET POLICY PE EXE or DLL Windows file download HTTP". Und zu den "Web application attacks": Die meisten Angriffe gehen auf's NAS.... z.B. IP 45.90.161.59 per "ET WEB\_SERVER 401TRG Generic Webshell Request - POST with wget in body" Und dann hat's noch massenweise - weniger relevante - Angriffe: * Portscans * Bad traffic * Python requests * Malware downloader LG

@"duffy"#297856 Einfach noch eine Frage ins Blaue hinaus: Hast Du ev. auf der IB3 den DMZ-Modus auf die IP des Syno-Routers aktiviert?

Nein... Hätt ich zwar gern gemacht, die IB3 nur zum "Durchleiten" zu nutzen per WAN-Port. Aber dann funzt Swisscom TV nicht mehr richtig. Also Syno einfach im Bridge-Modus eingerichtet und in der IB3 einzelne Ports an die Syno weitergeleitet.

Und per DMZ-Weiterleitung wäre ja die Firewall der IB3 komplett deaktiviert, soweit ich das verstehe...

@"duffy"#297856 Syno im Bridge Mode heisst ja Du betreibst den Router lediglich als Access Point ohne eigenes Netz. Für einen reinen Access Point sind Portweiterleitungen völlig überflüssig, bzw. Im worst case sogar gefährlich. Die würde ich jetzt mal abschalten, dann filtert die IB3 auch wieder besser…

Hmmm... Missverständnis??? Die Portweiterleitungen habe ich nur in der IB3 eingerichtet! Die Syno hängt wirklich nur zwischen IB3 und Heimnetz und protokolliert den Datenstrom.

@"duffy"#297856 Vielleicht wirklich ein Missverständnis, aber falls Du auf der IB3 eine Portweiterleitung auf auf die IP Adresse des Accesspoints eingerichtet hättest, wäre dies ein Konfigurationsfehler.

Nee, hab ich nicht! Port-Weiterleitungen in der IB3 gehen auf verschiedene Ports der NAS.

> * * * > > @"duffy"#297856 schrieb: > > Nee, hab ich nicht! > > Port-Weiterleitungen in der IB3 gehen auf verschiedene Ports der NAS. > > * * * Habe zwar keine Erfahrungen damit, was Dein Syno Router noch genau protokollieren kann, wenn Du ihn als reinen Access Point konfiguriert hast, aber falls Du einige Ports auf der IB3 für die Diskstation freigegeben hast, darfst Du nicht erstaunt sein, wenn da einiges durchkommt, denn gerade die üblichen Standardports einer Diskstation werden immer wieder mal "beharkt". Der viel sicherere Weg um aus dem Internet auf eine Diskstation zuzugreifen ist eine VPN-Verbindung und die Möglichkeit für einen Open VPN Server gibt es sowohl auf der Diskstation direkt wie auch auf dem Synology Router. Dann brauchst Du wirklich nur noch 1 einzigen Port für den VPN-Server weiterzuleiten und den kannst Du erst noch individuell wählen. Damit wird er dann auch nicht mehr dauernd von irgendwelchen Bots "beharkt".

Firewall und Threat Prevention

Tech41

Hab mir das durchgelesen, um es zu vereinfachen und das eigentliche Ziel, die Sicherheit zu erhöhen zu erreichen, kann ich ebenfalls zum OpenVPN raten, nutze dieses schon länger auch in sicherheitsrelevanten Bereichen (Corporate Security) und hab bislang nur positive Erfahrungen gemacht, auch hinsichtlich Usern ohne IT Affinität die ihre Maschinen zum erledigen der täglichen Task nutzen und kein Hintergrundwissen haben (wollen)

https://openvpn.net

hed

Die Sicherheit zu erhöhen ist ein Ziel, daneben ist es aber auch von grossem Interesse zu erfahren, ob die IB im Grundzustand (d.h. so wie sie von 98% der Kunden verwendet wird) tatsächlich so "dicht" ist wie Swisscom angegeben wird. Ich gehe davon aus, dass sie es ist, dennoch kann der Test von @duffy nicht schaden. Vertrauen ist gut, Kontrolle ist besser.

duffy

Okay, ich denke, ich kann den Test nach 5 Stunden abbrechen:

IB alle Ports geschlossen, keine Weiterleitungen, Firewall auf "strikt".

Trotzdem lässt die IB folgende eingehende Pakete durch.

ET POLICY PE EXE or DLL Windows file download HTTP
ET WEB_SERVER 401TRG Generic Webshell Request - POST with wget in body
ET EXPLOIT Jboss RCE (CVE-2017-12149)
ET CINS Active Threat Intelligence Poor Reputation IP group 83
ET INFO Generic IOT Downloader Malware in POST (Inbound)
ET INFO User-Agent (python-requests) Inbound to Webserver

Wie gesagt, ich kann absolut nicht einschätzen, ob das unsinnige Meldungen sind, oder ob das Sorge machen sollte.

Aber lieben Dank an Alle für Ihre Meinungen und Hilfestellungen.

Dann werd ich mich mal mit VPN beschäftigen.... 😁

Schönes Wochenende...

hed

@duffy

Danke für die Info. Aus meiner Sicht ist es zwingend notwendig, dass ein Crack von Swisscom das zusammen mit dir weiter im Detail untersucht ob es sich um eine fehlerhafte Anzeige der FW, einen Fehler der IB oder um erklärbare Meldungen handelt.

hed

@duffy

Ich habe bei meiner IB3 das Hausnetzwerk abgehängt und mit dem Sniffer Wireshark für 30 Minuten am Ethernet-LAN-Port aufgezeichnet und alle 612 in dieser Zeit aufgezeichneten Pakete mit folgendem Resultat analysiert:

- Es gab kein einziges Paket, welches vom WAN durch die IB3 auf das LAN weiter geleitet wurde.

- Die IB3 sendet aber selbständig regelmässig diverse Multicast und Broadcast - Pakete aus (IGMP, MDNS, ARP, HomePlug / AV und IEEE-1905). Das sind für einen solchen Home-Router übliche Pakete mit welchen verschiedene Funktionalitäten im Heimnetz sichergestellt werden. Vermutlich detektiert deine Firewall ein Teil dieser Pakete als "verdächtig".

Ich konnte allerdings auch einige unerklärbare Pakete aufzeichnen:

- Von der internen IP der IB3 (192.168.1.220) werden alle drei Minuten UDP Broadcasts auf Zielport 5678 gesendet

- Es werden alle 125s IPv6 Multicast-Queries an die Adresse ff02::1 (all nodes) gesendet, obwohl IPv6 in der IB3 ausgeschaltet ist

- Es werden alle 120s je 2 Ping an die Adresse ff02::1 (all nodes) gesendet, obwohl IPv6 in der IB3 ausgeschaltet ist

Möglicherweise schlagen auch diese Pakete bei deiner FW Alarm.

Welche Funktion die UDP Broadcasts mit Source 192.168.1.220 haben und weshalb die IB3 IPv6-Pakete versendet, obwohl IPv6 komplett ausgeschalt@"x"#584836 et ist, muss beantworten.

Ich habe nun noch eine Störungsmeldung abgesetzt und bin auf die Antwort von Swisscom gespannt.

ebu

@duffy

Hallo, hat sich an Deinem Setup etwas geändert? Gibt es neue Erkenntnisse zu Deiner Fragestellung?

Dies schriebst Du Mitte 2021: "Deshalb habe ich mein Heimnetz ein wenig erweitert:

Hausanschluss <-> Swisscom Internet-Box 3 <-> Synology RT2600ac im Bridge-Modus<-> Heimnetz und WLAN"

Der Grund meiner Fragestellung ist der, dass ich mir auch immer mal wieder Überlegungen betreffend der Sicherheit im Netz mache zwischendurch zu diesem Thema etwas recherchiere.

Beste Grüsse, Erich

KMDD

Das grösste Sicherheitsproblem sitzt vor den Geräten. Evl. da mal ein Update machen 😉 Im Ernst, Sicherheit hast Du nur, wenn Du den Router vom Netz nimmst. Ist wie beim Autofahren, Auto nicht fahren -> kein Unfall. Aber das ist natürlich auch keine Lösung. Daher gilt: Alle Updates für Geräte zeitnah durchführen (automatische Updates sind empfohlen). Alte Geräte, die keine Updates mehr bekommen, entsorgen. Ansonsten ist die grösste Quelle für Bedrohungen der Nutzer. Auf unbekannte Links klicken, unsichere Passwörter, 2FA nicht genutzt, weil zu unbequem, usw.

Die Internet-Boxen bieten mehr als ausreichend Schutz für einen normalen Umgang mit dem Thema Sicherheit.

ebu

@KMDD

"Weise Worte gelassen ausgesprochen."

Ich bin da ganz bei Dir und achte auf die von dir beschriebenen Vorgehensweisen.

Um beim Beispiel mit dem Auto zu bleiben. Unfälle hat und wird es immer geben. Die Einführung des Gurtenobligatoriums 1999 hat aber dazu geführt, dass die Anzahl der schweren Verletzungen/Unfalltote abgenommen hat.

Ähnlich sehe ich es mit der IT-Sicherheit, nur dass die Entwicklung viel schneller geht. Manchmal interessiert es mich, ob andere User "Sicherheitsgurte" aktiviert haben, von denen ich noch nie etwas gehört habe.

Beste Grüsse

KMDD

Dein Gurt ist die IB. Sicherheit war immer Thema 1 zusammen mit Stabilität. Dann der Rest.

duffy

Hi, Ihr... 😊

Ich hab mir Eure Ratschläge zu Herzen genommen und alle Portweiterleitungen deaktiviert und arbeite nur noch per VPN... alles per 2FA mit sicheren Passwörtern, natürlich!

Kleine Zwischenfrage: SSL-Zertifikate müssen ja regelmässig erneuert werden. Sollte man das auch mit OpenVPN-Zertifikaten tun? Das wäre für die anderen "Benutzer" allerdings recht umständlich.

Aber jetzt sind ja schon einige Monate seit meinem Ursprungs-Threat vergangen. Und da dachte ich mir, lass einen neuen Test machen:

Konfiguration:

Internet <-> Swisscom IB3 (Firewall "strikt"!) <-> Synology Router RT2600ac (Firewall "Threat Prevention" mit "ET Open") <-> Heimnetz

Portweiterleitungen in der IB3:

Port 443 -> Webserver
Port 1194 -> OpenVPN
Port 5896 -> SSL-VPN

Das funktoniert super! Mit Handy per App über SSL-VPN, mit allen PCs / Laptops und Pi4s über OpenVPN.

Aber nun der Test:

\=> Port 80 weitergeleitet auf unseren Backofen....

Und sofort bekomme ich innerhalb weniger Minuten vom Synology-Router die Alarmmeldungen:

Dshield Block Listed Source group 1
SCAN Zmap User-Agent (Inbound)
3CORESec Poor Reputation IP group 10, 13, 20, 75
CINS Active Threat Intelligence Poor Reputation IP group 4
User-Agent (python-requests) Inbound to Webserver
MVPower DVR Shell UCE
Mirai Variant User-Agent (Inbound)
JAWS Webserver Unauthenticated Shell Command Execution
Suspicious Chmod Usage in URI (Inbound)
D-Link Devices Home Network Administration Protocol Command Execution

Alle diese "Schad-Codes" (überwiegend aus China) sind problemlos durchgegangen.

Manche der "Anfragen" sind harmlos, aber offensichtlich wurde mein Backofen auf verschiedene Schwachstellen getestet und tatsächlich auch versucht, Malware ("Mirai") zu übertragen.

Eigentlich sollte so etwas doch schon auf Provider-Ebene geblockt werden, oder?

Also: Ich vertraue nur dem Anschnallgurt, den ich selber eingerastet habe und bei dem ich selber sehe, dass er keine Löcher hat.

Liebe Grüsse, Hendrik

MirkoP

Hallo @duffy vielen Dank für deinen Beitrag. Es gaben viele Fragen und auch viele Antworten. Damit auch die User in der Community etwas von der Lösungsfindung haben, ist es von Vorteil die Antworten, die zur Lösung getragen haben, auch markiert werden. Vielen Dank, liebe Grüsse, MirkoP

KMDD

@duffy mach mal diesen Test. Der sagt mehr aus als die Marketing-Meldungen des Synology-Routers:

https://www.heise.de/security/dienste/portscan/test/go.shtml?scanart=1

Lass Dich einfach nicht verrückt machen.

duffy

Lieber Mirko...😉

Ich hätte ja wirklich gerne schon eine Antwort markiert.

Aber die Ursprungsfrage war ja: "Lassen Swisscom und IB3 relevanten Schadcode durch?

Und darauf hat's noch keine echte Antwort gegeben.

LG, Hendrik

Stauldoteiy82

@duffy schrieb:

Eigentlich sollte so etwas doch schon auf Provider-Ebene geblockt werden, oder?

Wenn Du die Standardeinstellubgen betreibst und dies vom Provider explizit anforderst ja, ansonsten definitiv Nein, das sollte nicht vom Provider geblockt werden.

Stichworte unter anderem freies Internet oder Netzneutralität.

Wenn der Provider dies noch vor Deinem Anschluss filtern würde, wie Du es erwartest wenn ich das nicht falsch verstanden habe, wo sollte er die Grenze ziehen?

Für AFAIK alle von Dir aufgelistete Warnungen kann es einen legitimen Grund geben und sei dieser bloss die Sicherheit Deiner per Portweiterleitung offen ans Internet angeschlossenen Geräte zu testen. Wenn der Provider da etwas ausfiltert wähnst Du Dich in falscher Sicherheit.

Oder um mich auch in einem Gurtenvergleich zu versuchen: Wenn das Auto darauf hinweist "Du bist nicht angegurtet, hol dies bitte nach" finde ich dies gut.

Wenn es dann gar nicht wegfährt, jedoch klar sagt weshalb nicht in Ordnung.

Wenn es jedoch nicht anspringt ohne auch nur einen Hinweis darauf zu geben weshalb nicht(Analoge zu Provider filtert etwas sehr weit von Deinem Gerät entfernt heraus) wirst Du da mehr Probleme erhalten, da Du den Abschleppwagen benötigst, die Werkstatt dann im trüben fischt was nicht geht und viele, auch kostenpflichtige Tests macht.

OK, der Vergleich hinkt wohl etwas, aber ich hoffe es ist trotzdem klar was damit gemeint ist.

duffy

@KMDD

Hi.... 😀

Keine Sorge, natürlich kein Grund sich verrückt zu machen!

Der von Dir empfohlene Test beschränkt sich aber allein auf einen Portscan und 3 mögliche (alte) Schwachstellen direkt im Router, die natürlich längst geschlossen sind.

Dieser Test hilft also gar nicht weiter bei der Frage, ob im Swisscom-Netz Schadcode beim Endbenutzer ankommt... und sagt auch sonst nicht viel aus.

Und das "ET pro Ruleset" der Firma "proofpoint" kann man nun wirklich nicht als Marketing-Gag verunglimpfen.

Frage bleibt leider weiter offen.....

VG, Hendrik

Stauldoteiy82

@hed schrieb:

Ich habe nun noch eine Störungsmeldung abgesetzt und bin auf die Antwort von Swisscom gespannt.

Hat dir Störungsmeldung etwas ergeben oder ist die noch in Abklärung?

duffy

@Stauldoteiy82

Da gehe ich fast komplett mit Dir mit!

"Sicherheit ist der Feind der Freiheit"... und umgekehrt. Da gilt es immer einen Mittelweg zu finden.

Leider konnte mir bisher aber keiner beantworten, ob man z.B. diese Mirai-Botnetz-Warnung ernst nehmen muss.

Wenn's ein Fehlalarm ist, um so besser!

Wenn kein Fehlalarm, dann wäre das so, als würde ich ohne Öl fahren, aber die Warnleuchte geht nicht an.

Natürlich muss klar und transparent definiert sein, welche Codes warum geblockt werden.

Aber wenn mit einer chinesischen IP mein Backofen auf Backdoors gechecked wird, dann finde ich das eindeutig und kann mir nicht vorstellen, dass das nur ein nett gemeinter Test des Providers meines Vertrauens ist. Zumal ich gar nicht weiss, ob ich einen älteren D-Link-Router überhaupt anschliessen könnte (das wurde auch "geprüft").

Es gibt vieles, gegen das ich mich (mit Anschnallgurt) selber schützen kann (Viren, Malware, Passwörter etc.). Aber vor diesen Schadcodes (wenn es denn welche sind) kann mich nur Provider / Router schützen, oder?

hed

@Stauldoteiy82 schrieb:

@hed schrieb:

Ich habe nun noch eine Störungsmeldung abgesetzt und bin auf die Antwort von Swisscom gespannt.

Hat dir Störungsmeldung etwas ergeben oder ist die noch in Abklärung?

@Stauldoteiy82

Ja, das Ticket ist letztendlich sogar beim 3.Level-Support gelandet und der hat sich auf den Hersteller der IB bezogen, wonach dies ein normales Verhalten und für die korrekte Funktion der Box notwendig sei.

Damit war der Fall erledigt, aber für mich ist die Antwort weder nachvollziehbar noch befriedigend

Anyway, in der Zwischenzeit gab es doch einige Updates und ich werde gelegentlich die Tests wiederholen und schauen, wie es aktuell aussieht.

Werner

@duffy

Du hast einen zusätzlichen Router im reinen AP-Mode und versuchst damit nun mit den via zusätzlich installierbaren Synology Paketen an einem ungeeigneten Ort in Deinem Netzwerk zusätzliche Sicherheit zu erzielen, was aber im AP-Modus wenn überhaupt sinnvoll, allerhöchstens als Diagnose funktionieren kann.

Auch wenn Du jetzt die 13 Portweiterleitungen, mit denen Du mal gestartet bist, massiv reduziert hast, überzeugt mich Dein Netzwerksetup immer noch nicht und was die zusätzlichen Synology Router Pakete in diesem ulkigen Setup im reinen AP-Modus genau machen, ist auch nicht transparent.

Falls Du das Thema ernsthaft weiterverfolgen willst, würde ich den Synology Router nochmals versuchen in den Routermodus zu versetzen und ihn damit auch wirklich mit sämtliche Routerfunktionen zu betreiben.

Du hast irgendwo geschrieben, Du hättest das nicht gemacht, weil der Routermodus nicht mit Swisscom TV zurecht gekommen ist

Dies sollte eigentlich durch einen Update der RT2600ac Firmware vor ca. 1 Jahr gelöst worden sein, denn man kann nun unter Netzwerk/IPTV sowohl IGMP Proxy wie auch IGMP Snooping aktivieren und damit sollte dann das Multicast von Swisscom TV auch über den Synology Router laufen können.

Falls es doch nicht funktionieren sollte, kannst Du als Alternative auch die TV-Boxen als einzige Geräte direkt an der IB3 angehängt lassen und nur alles andere ins dann separate Syno-Netz verlegen.

KMDD

Oder den Syn. auf den Müll werfen, das Gehirn einschalten und schon gibt es keine Probleme. Das hier ist ein Pseudo-Thema, an der Realität vorbei und getriggert durch Marketing-Bla Bla.

Wenn dies wirklich ein Problem wäre, dann hätten nahezu alle Privatkunden weltweit ein Problem.

Deshalb: Geräte aktuell halten bzgl. Software und Geräte, für die es keine Updates gibt oder die nicht richtig vom Hersteller gewartet werden, in die Mülltonne entsorgen,

« Previous page Next page »