December 2018 - NLNOG - mailman3.nlnog.net

weet iemand wie deze amateurs zijn?
by Sabri Berisha 01 Feb '21

01 Feb '21

Hi, Elke 30 seconden proberen ze het opnieuw: Jan 1 07:50:14 mail postfix/smtpd[1243]: NOQUEUE: filter: RCPT from unknown[185.103.159.70]: <vsaveliev(a)openprovider.ru>: Sender address triggers FILTER smtp-amavis:[127.0.0.1]:10024; from=<vsaveliev(a)openprovider.ru> to=<null(a)null.nl> proto=ESMTP helo=<mail-dev101-01.openprovider.nl> Jan 1 07:50:14 mail postfix/smtpd[1243]: NOQUEUE: reject: RCPT from unknown[185.103.159.70]: 554 5.7.1 <null(a)null.nl>: from=<vsaveliev(a)openprovider.ru> to=<null(a)null.nl> proto=ESMTP helo=<mail-dev101-01.openprovider.nl> root@mail:/var/log# host 185.103.159.70 70.159.103.185.in-addr.arpa domain name pointer hosted.by.pcextreme. <--- lekker profi PTR. role: PCextreme - Global NOC address: PCextreme B.V. address: Gyroscoopweg 134 En was dat hele openprovider.nl niet van Beefje? Thanks, Sabri Jr Network Amateur

2 2

NL abuse-overzicht 2018
by Jurrian van Iersel 27 Dec '18

27 Dec '18

Beste NLNOG-leden, Met het einde van het jaar in zicht is het weer de periode van jaaroverzichten en cijfertjes. Dit keer wou ik ook graag een duit in het zakje doen. De meesten van jullie zullen weten dat ik hobby-project heb waarbij ik abuse-informatie verzamel en meldt bij de betreffende ISP (zo niet, kijk de presentatie op NLNOG-dag 2017 even terug: https://youtu.be/Mt-KfNQG1oQ) Hoewel de statistici het dataset vast te klein en onbetrouwbaar vinden, wil ik hier toch een klein overzicht over 2018 voor Nederland maken. In onderstaande overzichten wordt naar incidenten gekeken waar het ip-adres op dat moment geregistreerd stond in Nederland; voor het ASN wordt de gene gebruikt die de IP-range op dat moment adverteerde. Ik noem bewust geen namen of ASN, zodat niemand zich persoonlijk aangesproken hoeft te voelen. Als we naar het aantal incidenten per ASN kijken, zal het niemand verbazen dat de eerste plaats vergeven wordt aan een bulletproof hoster. Ook op de zesde plaats treffen we zo’n partij aan. Opvallend genoeg bestaat de rest van de top 10 alleen uit hostingproviders (shared hosting, VPS en colocatie). De eerste accessprovider treffen we pas op de elfde plaats. Hieruit zouden we voorzichtig de conclusie kunnen trekken dat besmette PC’s bij argeloze thuisgebruikers niet meer het grootste gevaar zijn, maar dat slecht beveiligde servers (zowel virtueel als fysiek) een grotere bedreiging op vormen. Als we naar het type incidenten over het totaal (hosting + access) kijken, dan springen er 4 types bovenuit: opeenvolgend zijn dat SSH-login pogingen, SMTP-authenticatie pogingen, pogingen SIP te misbruiken en portscans. Met name TCP-poorten 7000 en 6666 zijn populair bij de portscans. Kijken we alleen naar de hosting-aanbieders uit de top 10 (bulletproof-partijen uitgesloten), dan is de volgorde SSH-login pogingen, pogingen SIP te misbruiken, Portscans en SMTP-authenticatie pogingen. Overigens moet bij het SIP-verkeer opgemerkt worden dat het UDP-verkeer is, waarbij het source-address eenvoudig te spoofen is. Anderzijds levert SIP-communicatie niet veel verkeer op, waardoor het niet interessant is voor een DDoS en is het misbruiken voor telefonie-fraude waarschijnlijker omdat dit veel lucratiever is. Concluderend zouden we kunnen stellen dat het goed gaat met de beveiliging door thuisgebruikers, waar adequaat handelen door de accessproviders een belangrijk onderdeel is. Voor de hosters is een belerend vingertje meer op de plaats; misbruik en gecompromitteerde servers zouden makkelijk gedetecteerd kunnen worden met de juiste beveiligingstools. Misschien moet de branche hier in 2019 eens (gezamenlijk) nadenken over een handelswijze bij incidenten. Waar accessproviders vaak vrij snel overgaan tot blokkades tot de problemen zijn opgelost, krijgen hostingklanten vaak 24 tot 48 uur de tijd op het probleem op te lossen voor er geblokkeerd wordt, terwijl in deze periode het abuse doorgaat. Ook in het kader van de GDPR / AVG lijkt het mij verstandiger sneller tot blokkade over te gaan als derden controle hebben over systemen met gegevens. Ik wens iedereen fijne feestdagen en een goed, gezond abuse-vrij 2019! Jurrian van Iersel

5 7

Fwd: BGP Experiment
by Job Snijders 20 Dec '18

20 Dec '18

For your information! ---------- Forwarded message --------- From: Italo Cunha <cunha(a)dcc.ufmg.br> Date: Thu, Dec 20, 2018 at 6:39 PM Subject: BGP Experiment To: NANOG <nanog(a)nanog.org>, DISCO experiment mailing list <disco-experiment(a)googlegroups.com> NANOG, We would like to inform you of an experiment to evaluate alternatives for speeding up adoption of BGP route origin validation (research paper with details [A]). Our plan is to announce prefix 184.164.224.0/24 with a valid standards-compliant unassigned BGP attribute from routers operated by the PEERING testbed [B, C]. The attribute will have flags 0xe0 (optional transitive [rfc4271, S4.3]), type 0xff (reserved for development), and size 0x20 (256bits). Our collaborators recently ran an equivalent experiment with no complaints or known issues [A], and so we do not anticipate any arising. Back in 2010, an experiment using unassigned attributes by RIPE and Duke University caused disruption in Internet routing due to a bug in Cisco routers [D, CVE-2010-3035]. Since then, this and other similar bugs have been patched [e.g., CVE-2013-6051], and new BGP attributes have been assigned (BGPsec-path) and adopted (large communities). We have successfully tested propagation of the announcements on Cisco IOS-based routers running versions 12.2(33)SRA and 15.3(1)S, Quagga 0.99.23.1 and 1.1.1, as well as BIRD 1.4.5 and 1.6.3. We plan to announce 184.164.224.0/24 from 8 PEERING locations for a predefined period of 15 minutes starting 14:30 GMT, from Monday to Thursday, between the 7th and 22nd of January, 2019 (full schedule and locations [E]). We will stop the experiment immediately in case any issues arise. Although we do not expect the experiment to cause disruption, we welcome feedback on its safety and especially on how to make it safer. We can be reached at disco-experiment(a)googlegroups.com. Amir Herzberg, University of Connecticut Ethan Katz-Bassett, Columbia University Haya Shulman, Fraunhofer SIT Ítalo Cunha, Universidade Federal de Minas Gerais Michael Schapira, Hebrew University of Jerusalem Tomas Hlavacek, Fraunhofer SIT Yossi Gilad, MIT [A] https://conferences.sigcomm.org/hotnets/2018/program.html [B] http://peering.usc.edu [C] https://goo.gl/AFR1Cn [D] https://labs.ripe.net/Members/erik/ripe-ncc-and-duke-university-bgp-experim… [E] https://goo.gl/nJhmx1

1 0

feedback gezocht: maximum prefix limits (inbound / outbound) draft
by Job Snijders 20 Dec '18

20 Dec '18

Beste NLNOGers, Melchior en ik proberen te specifieren welke varianten van BGP maximum prefix limits er bestaan, en promoten een nieuw type limiet, de 'outbound maximum prefix limit' - met als doel het mogelijk te maken dat sessies automatisch uitgezet worden als je zelf een full table naar een peer leaked. We wouden de Internet-Draft hier circuleren voor feedback voordat we het naar IETF sturen. Het document is hier te lezen: https://raw.githubusercontent.com/bgp/draft-grow-maxprefix/master/draft-sa-… Feedback qua terminologie, spelling, grammatica, zinsbouw - allemaal welkom! Met vriendelijke groeten, Job

9 15

NLNOG New Years Event / Nieuwjaarsborrel 2019
by Job Snijders 11 Dec '18

11 Dec '18

Beste NLNOGers, [ English TL;DR - The NLNOG New Years Event will be celebrated in the "Winkel van Sinkel" walking distance from train station Utrecht Centraal on January 18th, 2019! Come join us! ] Het is weer bijna zover! De immer legendarische NLNOG Nieuwjaarsborrel komt eraan. Een prima traditie om met vrienden en collega’s het nieuwe jaar in te luiden met een drankje en een bittergarnituur. Details: -------- Tijd: vanaf 19:00 Datum: 18 januari 2019 Plaats: Winkel van Sinkel, Utrecht https://www.dewinkelvansinkel.nl/ Aanmelden --------- Hoe meer zielen, hoe meer vreugd, dus neem ook eens een collega mee die nog nooit van NLNOG heeft gehoord ;-) Vergeet je niet even aan te melden via de eventbrite link! Registratie tool: https://nlnognewyear2019.eventbrite.nl Alvast hele fijne dagen, en we hopen jullie allemaal te zien op 18 januari! Met vriendelijke groeten, Job, Nathalie, Niels, Melchior, Thomas Stichting NLNOG

1 0

Spoofer Report for NLNOG for Nov 2018
by CAIDA Spoofer Project 08 Dec '18

08 Dec '18

In response to feedback from operational security communities, CAIDA's source address validation measurement project (https://spoofer.caida.org) is automatically generating monthly reports of ASes originating prefixes in BGP for systems from which we received packets with a spoofed source address. We are publishing these reports to network and security operations lists in order to ensure this information reaches operational contacts in these ASes. This report summarises tests conducted within nld. Inferred improvements during Nov 2018: ASN Name Fixed-By 203201 IT-SUPERNAP 2018-11-26 Further information for the inferred remediation is available at: https://spoofer.caida.org/remedy.php Source Address Validation issues inferred during Nov 2018: ASN Name First-Spoofed Last-Spoofed 44858 PROXSYS 2018-03-26 2018-11-01 28878 SIGNET 2018-06-27 2018-11-26 Further information for these tests where we received spoofed packets is available at: https://spoofer.caida.org/recent_tests.php?country_include=nld&no_block=1 Please send any feedback or suggestions to spoofer-info(a)caida.org

1 0