**** ALERT **** 112.64.220.7 gave false logon/password

commonwang

**** ALERT **** 112.64.220.7 gave false logon/password to POP server; user: user@abc.com [EvSecurity]

各位老大,现在邮件服务器上的事件日志里面全是这个警告,一天大概有5000多个,显示的ip地址并不是公司里面的,时间段含盖了全天.
我开了动态屏蔽,并把公司里面的ip地址添加进去.

请问各位老大,这个现象是不是有人在攻击我的邮件服务器?还是说我其他地方设置错了?

leien_2001

顶下，我也有这个问题

mynetway

很显然是有人用POP暴力猜測你的用戶密碼，當有密碼被攻破時就用你的服務器往外發壌郵件。
很遺憾的是MD9.X版本的動態IP屏弊只針對SMTP而不針對POP，我現在的策略是直接封IP段。
比如在IP屏弊裏添加“220.181.*.*”，不過這樣做的壞處是殺傷力太大。在添加這類IP段之前，你最好查查這個IP段有沒有你所在的用戶（ip138.com可查）。
另外做好安全性設置，最好啓用強密碼。

taozifafa

顶！！是的。感谢三楼的。随着邮箱的往来量增加后，类似问题不断出现！
希望有彻底的办法解决！

mynetway

所以大家都把自己日志里的坏IP列出来
大家一起共享，直接拒绝这些IP

wxhsh

我觉得封IP还只是治标的办法，并且管理成本过高，也容易误伤。
个人认为最好从行为分析的角度入手，观察下对方经常用来猜测的帐号，然后做个陷阱帐号，让它去浪费时间吧。
如新建个admin的帐号，起个超变态的密码，此帐号禁止收发外域，并去除相关功能。

hsz258

顶，学习中……

mynetway

作奸犯科的人都是很聪明的，哪这么容易上当
从日志来看，它猜admin用户密码的次数并不多，你建得再复杂又有什么用？
我观察了很长一段时间，IP大多这样分布：
70% 江苏
5% 北京
5% 上海
其余是不固定，有些是海外IP

而猜破后发垃圾邮件的，大多是深圳IP，我有很多深圳用户，所以我不能封深圳IP，只能封猜测我帐号的IP。

而猜测的手段也很有规律，有时候是每5分钟5次，大多时候是每5分钟3次，甚至有些每5分钟1次。这显然对动态屏蔽也优化过了，所以唯一对它有效的，恐怕是黑名单和强密码了。

[ 本帖最后由 mynetway 于 2010-11-3 16:36 编辑 ]

wxhsh

admin只是举个例，并不是真的就建个一样的用户。不过我想对方肯定不会人工去干这活的吧。那就也应该有个常用用户/及密码的字典库吧，分析下日志应该还是能找到规律的。

mynetway

我明白你的意思，但我想说的是
显然对方是针对这样的布防有优化过

不过日志显示，猜测的全是真实存在的用户。我有些用户是只与国外交流，它也能知道我的用户名，这倒有些怪。
希望不是MDAEMON新有的漏洞，不知用其他邮件系统的近期有没有这个问题？