¿Cómo descubre el atacante nuestro servidor? [duplicar]

La respuesta corta es que muchas personas están escaneando todo la mayoría del tiempo.

Hace algunos años, se consideró poco práctico, pero la combinación de mejores redes, mejores herramientas, mejor rendimiento y más espacio en uso significa que ya no es el caso.

Por ejemplo, Zmap en su página principal:

  

ZMap es capaz de realizar un escaneo completo del espacio de direcciones IPv4 en menos de 5 minutos, acercándose al límite teórico de diez Gigabit Ethernet.

Las botnets tienden a distribuir el mismo tipo de exploración en un número significativo de nodos, para lograr un resultado similar: es probable que cualquier máquina determinada en Internet sea escaneada al menos una vez por día por un determinado atacante / escáner.

Una vez que se identifica un servidor web en una IP determinada, existen todo tipo de herramientas para probar rutas conocidas y herramientas que intentarán adivinar su mapa del sitio.

En resumen, bienvenido a Internet, donde la oscuridad no es seguridad.

Considere esto en el contexto de la configuración de su aplicación / servicios / widget: con toda probabilidad, las cosas que probablemente prefiera que sean "secretas" no serán, y es necesario defender sus activos y recursos.

Acerca de cada IP ha estado bajo sondeo continuo durante años. Ni siquiera necesita tener un nombre de dominio, basta con un acceso de DHCP IP normal al consumidor. Al ejecutar un servicio http ficticio en su computadora, se obtienen resultados de automatizado / phpmyadmin y dichas sondas. En caso de que su servicio proporcione el código http 200 como respuesta, pueden seguir algunos intentos de abuso.

Los probers y los atacantes usan redes de bots y, por lo tanto, la IP utilizada puede ser cualquier cosa, desde la dirección de la casa de un hacker hasta la IP de un aparato de cocina ... y más. Bloquear direcciones IP ya no funciona. Si desea tener algo en Internet antes de la publicación, es posible que desee incluir en la lista blanca las direcciones que necesitan acceder al sitio.

Recuerde: nunca permita el acceso directo de SSH a sus servidores desde Internet. Los puertos SSH están bajo bombardeo similar todo el tiempo. Si tiene un servidor SSH y un nombre de usuario 'dave' con contraseña 'letmein' abierto a Internet, probablemente lo hackeen en un momento.

Esto parece ser solo escáneres aleatorios en internet. Simplemente deambulan probando diferentes direcciones IP y buscando ciertas carpetas y archivos que podrían indicar vulnerabilidades.