Funktion der globalen Sperrliste überprüfen

[LSRegistrations]

Hallo Zusammen, wir haben das Gefühl, dass unsere globale Sperrliste nicht mehr richtig funktioniert.
Wir bekommen ewig viele Blockmeldungen von IP Adressen seit den letzten ~30 Tagen auf unseren Anlagen.
Meist ist es so, dass zuerst eine Anlage die Adresse blockt und kurze Zeit später blockiert die andere Anlage dieselbe Adresse auch.
Kann man das irgendwo überprüfen?

 

[ilias_3CX]

Beachte bitte dass die PBX keine Firewall ist.
Um alles sicherer zu machen muss du die Firewall konfigurieren.
Die IPs werden gesperrt und bleiben auf der Sperrlist für die Zeit die man eingetragen hat.

 

[avido_3cx]

Hallo Ilias!

Ich lasse IP-Adressen, die auf der Blacklist landen für Jahre sperren, ich seh aber auch dasselbe Problem, dass diese Angriffe auf sämtlichen Cloudinstallationen alle Anlagen quasi durchscannen obwohl ja eigentlich schon mit der 1. Anlage wo die auf der globalen Blackliste landet das gesperrt sein müsste. Oder versteh ich das falsch?

 

[ilias_3CX]

Du meinst dass die IP auf alle 3CX PBX Anlagen gesperrt werden muss, sobald die auf eine PBX auf der Sperrliste gesetzt wird?

 

[avido_3cx]

Ja genau das meine ich. Irgendwie wär´s sinnvoll bei DdOS Attacken o.ä., wenn das global gesperrt wird oder nicht. Ansonsten macht eine globale Sperrliste irgendwie nicht viel Sinn.

 

[LSRegistrations]

Was tut denn die globale Sperrliste sonst?

Es wird doch überprüft ob dieselbe IP auf "x" Anlagen bereits gesperrt ist und sperrt diese dann automatisch auf allen anderen 3CX Anlagen, die diese Funktion aktiviert haben ohne dass die IP Adressen dort nochmal separat in der "Blacklist" aufgeführt wird.

Verstehe ich was falsch?

Währenddessen habe ich angefangen alle Adressen die an unseren Anlagen geblockt werden in eine Liste aufzunehmen und die kompletten Cloud Provider von denen die Anfragen kommen zu sperren.

Aktuell sind ~15.000 IP Ranges auf der Liste gesperrt (siehe Anhang)

 

[ilias_3CX]

Eine IP die nur auf eine oder zwei

Was tut denn die globale Sperrliste sonst?

Es wird doch überprüft ob dieselbe IP auf "x" Anlagen bereits gesperrt ist und sperrt diese dann automatisch auf allen anderen 3CX Anlagen die diese Funktion aktiviert haben ohne dass die IP Adressen dort nochmal separat in der "Blacklist" aufgeführt zu werden.

Korrekt das macht sie.

Eine IP wird aber nicht gesperrt wenn die auf eine oder 2 Anlagen auf der Sperrliste landet.
Die muss schon auf einige in der Sperrliste landen.
Ebenso wurde von der 3CX IP rangen gesperrt, die bekannt sind dass diese für so welche Angriffe tätig sind.

Aber nochmal Leute. Die PBX ist keine Firewall.

 

[avido_3cx]

Hallo Ilias!

Das ist schon klar, aber ich bekomm von 10-15 Anlagen hintereinander dieselbe IP-Adressen Attacke...wieviele müssens sein? Hunderte?
Das dies eine Firewall nicht ersetzt ist klar, aber dennoch sollte das Feature mit etwas mehr Logik funktionieren sorry...

 

[ilias_3CX]

Hast du die globale IP Sperrliste aktiviert?
Du bekommst die selbe IP auf 15 Anlagen?

 

[avido_3cx]

Hallo Ilias!

Ja habe ich auf ALLEN Anlagen. Da ich die Benachrichtigung, dass eine IP auf die Blacklist per Email bekomme, kommt die Meldung dann eben mehrfach hintereinander.

 

[LSRegistrations]

Bei uns das Gleiche, deshalb die Frage ob diese "Sperrliste" überhaupt noch funktioniert.

Anlage 1 blockt eine IP, 2-3 Minuten später blockt Anlage 2 dieselbe Adresse, dann Anlage 3 usw.

Es ist nur komisch da das noch nicht lange so geht. Seit 2-3 Monaten ist das so extrem (gefühlt)

 

[avido_3cx]

das ist jetzt nur ein beispiel von vielen

 

[LSRegistrations]

Bei dir rumpelts gut im Postfach ;-)
Ja so ähnlich ist es bei uns auch, nur dass es keine 15 Anlagen sind, paar weniger.

 

[avido_3cx]

Bei dir rumpelts gut im Postfach ;-)
Ja so ähnlich ist es bei uns auch, nur dass es keine 15 Anlagen sind, paar weniger.

rein gefühlsmäßig is es im Moment besonders schlimm...meiner Meinung nach lief das schon mal besser...es gab wochen da hab ich eine handvoll meldungen bekommen..

 

[LSRegistrations]

Ich hätte Interesse an deinen geblockten Adressen, dann kann ich die Ranges raussuchen und auf meine statische Sperrliste setzen (prophylaktisch).

Ganz schlimm war der hier

AS9009 M247 Europe SRL AS details

AS9009 autonomous system information: WHOIS details, hosted domains, peers, upstreams, downstreams, and more.

ipinfo.io

 

[avido_3cx]

Spannend nein den hatte ich jetzt noch gar nicht dabei

 

[LSRegistrations]

Dass 3CX die Firewall nicht ersetzen kann ist logisch, aber wenn ich den Port zu mache kann keiner mehr telefonieren unterwegs . . . ?!

 

[LSRegistrations]

Vielleicht kann man in Zukunft auch auf Geräte einschränken die sich anmelden dürfen. Scheinbar wird das ja erkannt (steht zumindest in den Block Mails immer)

"AVAYA" benutzen wir z.B. nicht, da könnte man gleich angeben "AVAYA" darf sich nicht anmelden, Punkt.

 

[avido_3cx]

ja genau das dachte ich mir auch schon...polycom is auch immer wieder dabei

 

[LSRegistrations]

Wurde evtl. die Schwelle erhöht wann eine IP gesperrt wird?
Es muss sich doch irgend etwas geändert haben diesbezüglich.
Ich wäre ja schon zufrieden wenn ich wenigstens wüsste dass es so ist, dann muss man nicht mehr nach Fehlern suchen.