Router Firewall (Centro Business 2.0) komische Einträge

Dani_CH_1965

Hallo Zusammen

habe heute mal wieder komische Einträge im Router LOG, die ersten Zeilen besagen das ein Mitarbeiter auf dem Router war, was um Himmelswillen benötigt ein Mitarbeiter von Swisscom so komische Login Namen wie mother, 666666 usw.... Die Router Firewall ist auf strict.

atum,Zeit,Component,Gewichtung,Einzelheiten
22.03.2021,13:29:04,Swisscom,Informationen,GUI - remote access enable: false
22.03.2021,13:29:03,Swisscom,Informationen,Telnet - remote access enable: false
22.03.2021,13:29:03,Swisscom,Informationen,SSH - remote access enable: false
22.03.2021,13:29:03,Swisscom,Informationen,Remote Access Mode: Disabled
22.03.2021,13:10:45,Telnet Server,Warnung,User 'root' logout from 115.99.162.228:57782
22.03.2021,13:10:23,Telnet Server,Warnung,User 'root' logout from 115.99.162.228:57515
22.03.2021,13:10:06,Telnet Server,Warnung,User 'root' logout from 115.99.162.228:57365
22.03.2021,13:10:02,Telnet Server,Warnung,Invalid username '666666' from 115.99.162.228:57365
22.03.2021,13:09:57,Telnet Server,Warnung,Invalid username 'CUAdmin' from 115.99.162.228:57259
22.03.2021,13:09:51,Telnet Server,Warnung,User 'root' logout from 115.99.162.228:57173
22.03.2021,13:09:51,Telnet Server,Warnung,Invalid username 'ubnt' from 115.99.162.228:57173
22.03.2021,13:09:45,Telnet Server,Warnung,User 'root' logout from 115.99.162.228:57033
22.03.2021,13:09:45,Telnet Server,Warnung,Invalid username 'mother' from 115.99.162.228:57033

Kann hier mal jemand Stellung nehmen evtl. auch von Swisscom Seite aus.

Besten Dank

Gruss

Dani

Tux0ne

Wenn man den Fernzugriff aktiviert loggt der Centro Business entsprechende Loginversuche.

Was du hier siehst mit einer IP aus Indien ist nur der Erfolglose Zugriff der versucht wird. Eine Maschine geht dann Passwortlisten durch und versucht sich einzuloggen.

Wenn der Fernzugriff nicht aktiv ist, sind diese Ports auch nicht offen und dann gibt es nichts zu loggen.

So einfach ist das.

Damit ist eigentlich nur bewiesen das systematisch IP Adressen durchgegangen werden und sobald ein Port offen ist, wird der Zugriff versucht. Also nichts unbekanntes.

Dani_CH_1965

Tux0ne

der Fernzugriff ist deaktiviert.

Er loogt aber trotzdem...... Ja scheint ein Brute Force zu sein

Dani_CH_1965

also ich hab nochmals alles etwas genauer betrachtet, sowie es aussieht wird durch einen Besuch eines Swisscom Mitarbeiters ein Port geöffnet, denn bei den letzten Einträgen wo die Hacker versucht haben einzudringen, war auch ein Swisscom Info im Logfile. Das gleiche kann man beobachten wenn der Backup Stick (Ausfallstick) übernimmt.

Denn auf meiner Seite ist die Router Firewall auf strict und die Fernwartung (habe ich noch nie benutzt) deaktiviert....

Die Firmware Programmierer sollten nochmals über die Bücher...

Tux0ne

Den Fernzugriff aktiviert man auch indem der Swisscom Kundendienst das aktiviert. Oder man selber im Kundencenter oder auch ein Swisscom Partner via Extranet. In all diesen Fällen ist der Fernzugriff auch möglich ausgenommen man aktiviert die Privacy Option im Kundencenter. Dann zumindest kann man selber oder der Swisscom Partner den Fernzugriff nicht mehr aktivieren via Kundencenter.

Was erhoffst du dir im Log zu sehen? Das Log ist eigentlich viel zu kurz um was brauchbares zu sehen.

Dani_CH_1965

In diesem Fall hatte ich Recht, der Kundendienst hat es aktiviert.......

Im Fall Logdatei gebe ich dir recht..... es ist zu kurz und vorallem löscht es sich nach kurzer Zeit somit ist die Aussage das die Firmware Programmierer über die Bücher sollten auch nicht falsch.

Aber mit deinem letzten Beitrag wurden meine Fragen soweit beantwortet.

Besten Dank