Login Versuche!

[heubi]

Seit dem Update auf 18.0 (Build 861) erhalte ich im Ereignisprotokoll immer Loginversuche für die Management Console in zeitlichen Abständen.
Externe IP's ist deaktiviert und Benutzerpasswort wurde auch geändert, jedoch gehen die Loginversuche weiter?
Übersehe ich hier etwas?
Danke für jeden Input.

Gruss Heubi

 

[bitn2]

Da fehlen noch zu viele Infos... Poste am besten mal einen Screenshot von dem Log, dann kann man eventuell mehr dazu sagen.

 

[avraammich_3CX]

Hi @heubi,

vorab würde ich dir empfehlen zu prüfen ob Option:
Automatische globale 3CX IP-Sperrliste
"Erlauben Sie 3CX, alle IPs zu sammeln, die von dieser Instanz auf die Sperrliste gesetzt wurden. Im Gegenzug für diesen Beitrag wird die globale Liste des 3CX Anti-Hacking-Verteidigungsprogramms der auf der Sperrliste stehenden IPs heruntergeladen und in dieser Installation aktiviert." unter Dashboard->Sicherheit->Angriffsschutz aktiviert ist.
Bei Default ist die Option immer aktiviert.

Falls du eine IP erkennen kannst im Ereignis Protokoll z.B.

User or password is invalid from 5.249.161.162. (User: 512, password: 123456)
3CX Phone System Management Console ID: 30037 21.12.2022 13:02:25

oder z.B. IP 45.134.141.80

müssen wir nicht in Panik geraten(IP's sind schon bekannt), sofern Option aktiviert ist.


Zusätzlich zu den Anti Hacking Option sowie Sperrliste(Dashboard) verwaltet und verteilt 3cx auch eine globale Blacklist, die auch von deine 3cx Anlage verwendet werden kann. Dadurch werden böswillige IPs oder IP-Bereiche basierend auf bestimmten Algorithmen erfasst. Wenn eine bestimmte IP oder ein bestimmter Bereich zu dieser Liste hinzugefügt wird, wird diese an alle PBX-Anlagen verteilt, wenn Obige Option aktiviert ist.


Weiter Hilfestellung in Bezug auf Sicherheit bekommen wir unter folgenden Links:

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

 

[heubi]

Anbei noch das aktuelle Log. Heute noch den Build 889 eingespielt jedoch keine Besserung.

 

[avraammich_3CX]

Hi @heubi,

IP's sind bekannt und sind schon in der globalen Sperrliste hinterlegt.

Somit kein Grund für Sorge sofern du Anleitungen und von mir erwähnten Punkte genau beachtet hast.

 

[heubi]

Was mich verwundert ist das die Meldungen an meinem Server ankommen? Alle Einstellungen kontrolliert und waren alle schon wie empfohlen:
- 5060 limitiert auf Anbieterports
- Angriffschutz ist eingeschaltet
- Konsolenzugriff nur auf internes Netzwerk beschränkt
Es sollte doch nicht einmal zu einem Versuch kommen mit diesen Einstellungen?

 

[avraammich_3CX]

Hi @heubi,

nicht der 5060 sondern https greift hier 5001/443.(Web Client)

z.B. meinem Log, diese IPs sind alle bekannt.

• User or password is invalid from 38.54.2.215. (User: 82, password: 000082)
  3CX Phone System Management Console ID: 30037 23.12.2022 06:31:20
• The IP 24.37.73.250 has been blacklisted for 86400 sec. (Expires at: 2022/12/24 04:59:19). Reason: Too many failed authentications!
  SIP Server ID: 12290 23.12.2022 05:59:19
• User or password is invalid from 5.252.177.206. (User: 1001, password: Welcome123)
  3CX Phone System Management Console ID: 30037 23.12.2022 05:59:06
• User or password is invalid from 5.252.177.206. (User: 002, password: Welcome123)

 

[avido_3cx]

Hi @heubi,

vorab würde ich dir empfehlen zu prüfen ob Option:
Automatische globale 3CX IP-Sperrliste
"Erlauben Sie 3CX, alle IPs zu sammeln, die von dieser Instanz auf die Sperrliste gesetzt wurden. Im Gegenzug für diesen Beitrag wird die globale Liste des 3CX Anti-Hacking-Verteidigungsprogramms der auf der Sperrliste stehenden IPs heruntergeladen und in dieser Installation aktiviert." unter Dashboard->Sicherheit->Angriffsschutz aktiviert ist.
Bei Default ist die Option immer aktiviert.

Falls du eine IP erkennen kannst im Ereignis Protokoll z.B.

User or password is invalid from 5.249.161.162. (User: 512, password: 123456)
3CX Phone System Management Console ID: 30037 21.12.2022 13:02:25

oder z.B. IP 45.134.141.80

müssen wir nicht in Panik geraten(IP's sind schon bekannt), sofern Option aktiviert ist.


Zusätzlich zu den Anti Hacking Option sowie Sperrliste(Dashboard) verwaltet und verteilt 3cx auch eine globale Blacklist, die auch von deine 3cx Anlage verwendet werden kann. Dadurch werden böswillige IPs oder IP-Bereiche basierend auf bestimmten Algorithmen erfasst. Wenn eine bestimmte IP oder ein bestimmter Bereich zu dieser Liste hinzugefügt wird, wird diese an alle PBX-Anlagen verteilt, wenn Obige Option aktiviert ist.


Weiter Hilfestellung in Bezug auf Sicherheit bekommen wir unter folgenden Links:

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

Hi @heubi,

vorab würde ich dir empfehlen zu prüfen ob Option:
Automatische globale 3CX IP-Sperrliste
"Erlauben Sie 3CX, alle IPs zu sammeln, die von dieser Instanz auf die Sperrliste gesetzt wurden. Im Gegenzug für diesen Beitrag wird die globale Liste des 3CX Anti-Hacking-Verteidigungsprogramms der auf der Sperrliste stehenden IPs heruntergeladen und in dieser Installation aktiviert." unter Dashboard->Sicherheit->Angriffsschutz aktiviert ist.
Bei Default ist die Option immer aktiviert.

Falls du eine IP erkennen kannst im Ereignis Protokoll z.B.

User or password is invalid from 5.249.161.162. (User: 512, password: 123456)
3CX Phone System Management Console ID: 30037 21.12.2022 13:02:25

oder z.B. IP 45.134.141.80

müssen wir nicht in Panik geraten(IP's sind schon bekannt), sofern Option aktiviert ist.


Zusätzlich zu den Anti Hacking Option sowie Sperrliste(Dashboard) verwaltet und verteilt 3cx auch eine globale Blacklist, die auch von deine 3cx Anlage verwendet werden kann. Dadurch werden böswillige IPs oder IP-Bereiche basierend auf bestimmten Algorithmen erfasst. Wenn eine bestimmte IP oder ein bestimmter Bereich zu dieser Liste hinzugefügt wird, wird diese an alle PBX-Anlagen verteilt, wenn Obige Option aktiviert ist.


Weiter Hilfestellung in Bezug auf Sicherheit bekommen wir unter folgenden Links:

Don’t be “THAT” Guy Vol.1: Keep Complex Credentials

Our recent blog post “3CX Global IP Blacklist: Security By Default” highlighted the importance that we place on security and how we endeavor to combat

www.3cx.com

Don’t be “THAT” Guy Vol.2: Call Fraud

This blog post is the second of a series discussing the latest call fraud and hacking schemes we have observed. We spoke previously about the use of weak

www.3cx.com

Don’t be “THAT” Guy Vol.3: Top 4 PBX Security Tips

Following our last conversation about call fraud, it's time for another installment of our blog series ‘Don't be “THAT” Guy’. In this third edition, we’ve

www.3cx.com

Don’t be “THAT” Guy Vol.4: Monitor Your Instance

This is the 4th and final edition of our blog series. Last time we highlighted our top 4 security tips in Don’t be that guy Vol.3. In this edition, we

www.3cx.com

Die IPs´scheinen aber trotz mehrerer Zugriffversuche nicht automatisch auf die Sperrliste zu wandern. Beispiel IPS 154.22.57.3, 23.254.36.239, 5.249.161.162
Ich hab das neue Update auf einer Anlage im Test, diese Zugriffsversuche hatten wir in dieser Art noch nie. Die Anlage läuft in der Cloud, somit sollte eigentlich Firewallseitig alles passen da mit PBX Express installiert.
Es ist dort auch Alles aktiviert (Globale Sperrliste, Zugriff nur über bestimmte IP auf Konsole etc.)

 

[avraammich_3CX]

Hi @avido_3cx,

damit eine IP in der globalen Sperrliste landet muss IP mehrere versuche auf unterschiedliche Anlagen.
Dieses wird somit dann berichtet und wird in der globalen Sperrliste landen.

Wie vielen Versuche/attempts bekommst du von der IP 154.22.57.3 z.B.
IP hat 10 Versuche ab dann wird die IP auf der Sperrliste landen.

 

[avido_3cx]

hi

avraammich_3CX!​

Ich hab auf der Anlage eingestellt, dass bereits nach 3 Versuchen gesperrt werden soll.

Die IPs sind aber nicht in der Sperrliste ersichtlich, wie kann das sein?
Diese Angriffe passieren auch den ganzen Tag über im Minutentakt, Das gab es bis dato bei keiner anderen Version.
Die globale Sperrliste wird anders behandelt, das weiß ich. Hier brauchts mehrere Versuche auf verschiedenen Anlagen wie du schreibst.
Das https Port muss ja offen sein, weil sonst diverse Dinge nicht funktionieren würden.
also was ist hier dann die Lösung?

 

[avraammich_3CX]

Hi @avido_3cx,

Anti hacking Einstellungen bezieht sich auf SIP.
Ereignisse/Events welche du auf der Anlage(attempts) sind Brute force Webclient.
Damit eine IP(Brute force in deinem Fall) auf der Sperrliste landet müssen 10 Fehlversuche innerhalb eines Zeitraums von 30 Minuten erfolgen.

Das https Port muss ja offen sein, weil sonst diverse Dinge nicht funktionieren würden.
also was ist hier dann die Lösung?

Richtig, default random credentials verwenden für alle Benutzer.

 

[avido_3cx]

Hi @avido_3cx,

Anti hacking Einstellungen bezieht sich auf SIP.
Ereignisse/Events welche du auf der Anlage(attempts) sind Brute force Webclient.
Damit eine IP(Brute force in deinem Fall) auf der Sperrliste landet müssen 10 Fehlversuche innerhalb eines Zeitraums von 30 Minuten erfolgen.

Das https Port muss ja offen sein, weil sonst diverse Dinge nicht funktionieren würden.
also was ist hier dann die Lösung?

Richtig, default random credentials verwenden für alle Benutzer.

Richtig, default random credentials verwenden für alle Benutzer. verwenden wir natürlich.
Gibt´s keine Möglichkeit diese Attacken komplett wegzubekommen, zu reduzieren?
Wie gesagt bis zu diesem Update gab´s das so in dieser Form nicht.

 

[bitn]

Hallo @avido_3cx

wie soll man diese wegbekommen bei einem Webserver der im Internet erreichbar ist?
Ich vermute das es vorher einfach nicht so ausführlich geloggt wurde wie in der neuen Version.
Man darf halt nicht vergessen das jeder Service der im Internet erreichbar ist Angriffsfläche bietet für Hacker. 100% Sicherheit wird man nicht erreichen.

Beste Grüße

 

[avido_3cx]

Hallo bitn!
Das ist schon klar, nur wozu dann das Ganze mit globaler IP Sperrliste und den Fraud/Security Settings etc. ? Das scheint im Zusammenspiel nicht so zu funktionieren, wie man sich das vorstellt. Ich geh davon aus wenn auf meiner Anlage alle Minuten solche Anmeldeversuche passieren, geht das auf zig anderen Anlagen auch so und dafür reagiert die globale Sperre dann einfach zu langsam.

Ich versteh das, ich bin Techniker, IP-Anlage heißt Türen sind offen, Hacking ist möglich, da ich ja diese offenen Türen brauche und ohne diese gewisse Features nicht funktionieren und 100%ige Sicherheit gibt´s in dem Bereich nicht. Nur wie erklär ich das meinen Kunden? Da gibt´s einige, die schauen sich ihre Logfiles, Protokolle etc. genauer an und da wird dann die Frage früher oder später auftauchen was ist da los wieso versuchen sich ständig Leute auf meine Anlage einzuloggen. Da komme ich als Partner dann schon in Erklärungsnot. Ich glaube auch nicht, dass jetzt genauer geloggt wird, das hat einen anderen Grund, ist meine persönliche Meinung…

 

[bitn2]

Das wirst du nicht verhindern können. Gerade bei festen IPs, wenn die dann einmal bekannt sind, wird das immer wieder versucht. Lässt auch irgendwann nach. Einzige sichere Möglichkeit ist es vernünftige Passwörter zu nutzen. So lange die versuche geloggt werden, ist ja alles gut da die geblockt werden.

 

[bitn]

Hallo @avido_3cx

folgendes habe ich gerade im englischen Forum gelesen was mein Vermutung bestätigt hat:

Hi,
Those are webclient bruteforce attempts, we added an event to give these more visibility as previously they would be logged only in the management console logs.
Although this isn't something new there are many scanners/bots out there looking for weak credentials, and it is advisable to stick to random/complex passwords everywhere as it is the case by default.
The Console restrictions option doesn't affect the webclient access but only the management console one.

Such offending IP addresses get eventually in the Global Blacklist once there have been multiple reports from different 3CX Systems, and after your blacklist resyncs (every 2 hours). I checked those and most are already listed on our end.

Original Post: https://www.3cx.com/community/threads/update-6-beta-available-now.118217/post-549291

 

[Firestone]

hier wäre es toll wenn im Webclient als auch HandyApp oder Desktop App 2FA ergänzt werden würde und/oder conditional Access (z.B. Nur IPs aus deutschland oder gewisse MAC Adressen .....)

 

[bitn2]

hier wäre es toll wenn im Webclient als auch HandyApp oder Desktop App 2FA ergänzt werden würde und/oder conditional Access (z.B. Nur IPs aus deutschland oder gewisse MAC Adressen .....)

Dafür ist deine Firewall vor der 3cx zuständig.

 

[tm999]

Hallo zusammen,

ich bin gerade zufälligerweise über diesen Thread gestolpert und wollte schon lange etwas zu dem Thema schreiben. Ich selber habe diese fehlerhaften Logins / Brutforce Attacken bei wirklich allen meinen Kunden gesehen und hier haben wohl ein paar "Hacker" schlussendlich die Attraktivität des Standard Ports 5001 von 3CX erkannt. Alle Angriffe laufen hier über ganz normale Portscans auf die öffentliche IP und lassen sich relativ leicht blockieren. Das kleine Wundermittel ist hier einfach nur die Konfig des nginx default_server etwas anzupassen, damit Anfragen auf diesen ins Leere laufen und ihn zu aktivieren. Alle Anfragen die nicht an den FQDN gehen werden dann "verworfen". In der 3CX nginx Konfig muss dann noch die interne IP sowie alle benötigten FQDNs hinzugefügt werden. Ich verstehe selber nicht warum das 3CX nicht in der Standardkonfiguration macht, es ist eigentlich total simpel. Das läuft bei allen meinen Kunden seit Monaten stabil aber aktuell muss ich das bei jedem Kunden nach jedem Update erneut einrichten. Wenn Interesse besteht, kann ich das gerne mal hier im Detail beschreiben, weiß nur nicht wie 3CX das findet und würde mich hier mal über eine Rückmeldung freuen.
Viele Grüße,
Timo

 

[bitn2]

Diese "Attacken" gibt es schon immer, bisher waren die nur in den Logs nicht ersichtlich. Außerdem funktioniert die Anti-Hacking Konfiguration nicht mehr wie gewohnt. Hier ein Link dazu zum upvoten für eine entsprechende Lösung: https://www.3cx.com/community/threa...mpts-webclient-and-management-console.119205/