[VPS] Anti hack e mancanza di professionalità

[invbit]

@tmit

1. la VPS è tornata online 5 minuti fa, sempre a 64 ore dall'apertura del ticket originale

2. noi non abbiamo violato alcun contratto, e comunque avevamo solo chiesto di avere la macchina in rescue perché ce l'avete spenta e per noi non c'è modo di avviarla da remoto, e resta ancora più grave il fatto che siete sotto dimensionati il weekend (nel datacenter ovviamente).

Testuali parole dalla vostra signorina del call center: "dobbiamo chiamare un tecnico perchè venga a controllare il ticket. Dovreste avere una risposta in giornata.."
In realtà tutto il weekend è passato al "buio".

Ribadisco: non ho mai avuto un'esperienza di assistenza così negativa con un provider come questa!

[tmit]

Come già indicato non esistono SLA e quindi tempistiche in casi di abuso.


L'abuso c'è stato ed un estratto è il seguente:

[...]
start time                end time                  src IP         src port   dst IP           dst port   protocol   TCP flags   pkts    bytes   
2012-02-10 19:30:48.941   2012-02-10 19:30:48.941   46.105.28.83   36699      22.147.200.216   80         TCP              SYN    200   12 000   
2012-02-10 19:32:02.880   2012-02-10 19:32:02.880   46.105.28.83   56084      22.147.202.49    80         TCP              SYN    200   12 000   
2012-02-10 19:32:05.790   2012-02-10 19:32:05.790   46.105.28.83   50828      22.147.204.143   80         TCP              SYN    200   12 000   
2012-02-10 19:30:49.571   2012-02-10 19:30:49.571   46.105.28.83   43239      22.147.201.7     80         TCP              SYN    200   12 000   
2012-02-10 19:30:49.602   2012-02-10 19:30:49.602   46.105.28.83   43861      22.147.198.113   80         TCP              SYN    200   12 000   
2012-02-10 19:30:55.434   2012-02-10 19:30:55.434   46.105.28.83   50980      22.147.202.178   80         TCP              SYN    200   12 000   
2012-02-10 19:30:58.394   2012-02-10 19:30:58.394   46.105.28.83   44007      22.147.203.64    80         TCP              SYN    200   12 000   
2012-02-10 19:30:53.211   2012-02-10 19:30:53.211   46.105.28.83   59929      22.147.203.96    80         TCP              SYN    200   12 000   
2012-02-10 19:30:56.181   2012-02-10 19:30:56.181   46.105.28.83   57457      22.147.205.84    80         TCP              SYN    200   12 000   
2012-02-10 19:30:49.441   2012-02-10 19:30:49.441   46.105.28.83   34389      22.147.198.231   80         TCP              SYN    200   12 000   
2012-02-10 19:30:49.502   2012-02-10 19:30:49.502   46.105.28.83   53041      22.147.202.84    80         TCP              SYN    200   12 000   
2012-02-10 19:30:52.367   2012-02-10 19:30:52.367   46.105.28.83   39598      22.147.199.110   80         TCP              SYN    200   12 000   
2012-02-10 19:30:55.288   2012-02-10 19:30:55.288   46.105.28.83   59806      22.147.203.137   80         TCP              SYN    200   12 000   
2012-02-10 19:30:58.225   2012-02-10 19:30:58.225   46.105.28.83   49934      22.147.202.201   80         TCP              SYN    200   12 000   
2012-02-10 19:30:58.254   2012-02-10 19:30:58.254   46.105.28.83   55993      22.147.205.153   80         TCP              SYN    200   12 000   
2012-02-10 19:32:29.252   2012-02-10 19:32:29.252   46.105.28.83   41980      22.147.208.19    80         TCP              SYN    200   12 000   
2012-02-10 19:31:00.482   2012-02-10 19:31:00.482   46.105.28.83   33038      22.147.207.162   80         TCP              SYN    200   12 000   
2012-02-10 19:31:06.321   2012-02-10 19:31:06.321   46.105.28.83   34012      22.147.211.238   80         TCP              SYN    200   12 000   
2012-02-10 19:32:14.536   2012-02-10 19:32:14.536   46.105.28.83   57178      22.147.209.28    80         TCP              SYN    200   12 000   
2012-02-10 19:32:17.455   2012-02-10 19:32:17.455   46.105.28.83   47144      22.147.210.162   80         TCP              SYN    200   12 000   
[...]
2012-02-10 19:39:30.122   2012-02-10 19:39:30.122   46.105.28.83   41752      30.229.228.169   80         TCP              SYN    100   6 000   
2012-02-10 19:39:31.258   2012-02-10 19:39:31.258   46.105.28.83   50768      145.56.213.9     80         TCP              SYN    100   6 000   
2012-02-10 19:39:32.763   2012-02-10 19:39:32.763   46.105.28.83   51622      30.229.231.250   80         TCP              SYN    100   6 000   
2012-02-10 19:39:32.775   2012-02-10 19:39:32.775   46.105.28.83   55174      30.229.233.233   80         TCP              SYN    100   6 000   
2012-02-10 19:39:34.064   2012-02-10 19:39:34.064   46.105.28.83   49689      145.56.211.182   80         TCP              SYN    100   6 000   
2012-02-10 19:39:35.563   2012-02-10 19:39:35.563   46.105.28.83   60122      30.229.232.90    80         TCP              SYN    100   6 000   
2012-02-10 19:39:38.383   2012-02-10 19:39:38.383   46.105.28.83   55894      30.229.234.93    80         TCP              SYN    100   6 000   
2012-02-10 19:39:39.716   2012-02-10 19:39:39.716   46.105.28.83   56520      145.56.217.34    80         TCP              SYN    100   6 000   
2012-02-10 19:39:28.245   2012-02-10 19:39:28.245   46.105.28.83   59821      30.229.230.135   80         TCP              SYN    100   6 000   
2012-02-10 19:39:41.247   2012-02-10 19:39:41.247   46.105.28.83   59738      30.229.237.156   80         TCP              SYN    100   6 000   
2012-02-10 19:39:45.080   2012-02-10 19:39:45.080   46.105.28.83   58918      30.229.239.3     80         TCP              SYN    100   6 000   
2012-02-10 19:39:30.967   2012-02-10 19:39:30.967   46.105.28.83   56561      30.229.232.248   80         TCP              SYN    100   6 000   
2012-02-10 19:39:32.219   2012-02-10 19:39:32.219   46.105.28.83   33970      145.56.216.14    80         TCP              SYN    100   6 000   
2012-02-10 19:39:37.460   2012-02-10 19:39:37.460   46.105.28.83   58858      30.229.237.50    80         TCP              SYN    100   6 000   
2012-02-10 19:39:37.557   2012-02-10 19:39:37.557   46.105.28.83   57215      145.56.216.136   80         TCP              SYN    100   6 000   
2012-02-10 19:39:43.047   2012-02-10 19:39:43.047   46.105.28.83   44033      145.56.219.27    80         TCP              SYN    100   6 000   
2012-02-10 19:39:44.562   2012-02-10 19:39:44.562   46.105.28.83   57580      30.229.238.101   80         TCP              SYN    100   6 000   
2012-02-10 19:39:44.575   2012-02-10 19:39:44.575   46.105.28.83   43076      30.229.240.26    80         TCP              SYN    100   6 000   
2012-02-10 19:39:45.904   2012-02-10 19:39:45.904   46.105.28.83   42289      145.56.225.199   80         TCP              SYN    100   6 000   
2012-02-10 19:39:32.475   2012-02-10 19:39:32.475   46.105.28.83   43331      30.229.231.6     80         TCP              SYN    100   6 000   
[...]

[invbit]

Non sto mettendo in dubbio che ci sia stata o meno un'intrusione.
Non metto nemmeno in dubbio lo SLA in questo caso.

Ma avete comunque un problema.

Venerdì sera ci avete spento il server utilizzando un tool automatico, e ci avete inviato un messaggio automatico.
Nel messaggio si legge (estraggo il pezzo saliente):

Abbiamo quindi bloccato il vostro server.

Al fine di risolvere il problema, dovete necessariamente
reinstallare
il sistema operativo del vostro server. Questa operazione
pu? essere
richiesta a partire dal vostro manager v5.

Accedendo al manager v5 si scopre che nessuna opzione per reinstallare o avviare il sistema è presente, perché la VM è spenta!

I nostri ticket erano solo per esercitare un nostro diritto: avere la macchina accesa!
Tutte le nostre richieste sono cadute nel vuoto, per il semplice fatto che non avevate un tecnico allocato il weekend almeno per rispondere ai ticket!

Avere la macchina spenta equivale a violare da parte vostra lo SLA hardware, perché rendete impossibile da parte del cliente effettuare qualunque operazione, compresa la reinstallazione.

Credo che un buon avvocato non abbia difficoltà a darmi ragione.

Saluti
Paolo

[tmit]

In base ai nostri contratti noi potevamo anche rescindere direttamente in battuta il servizio per abuso.

[invbit]

Certo.. e in quel caso vi ritrovereste con la metà dei clienti che avete ora!

Direi che questa discussione è diventata sterile, è anche inutile andare avanti.

Ribadisco solo che qualunque cosa accada un cliente non deve mai sentirsi abbandonato al suo destino...
Con nessun altro provider mi è capitata una cosa del genere.
Al massimo mi sono sentito rispondere è colpa tua arrangiati, ma almeno mi veniva data la possibilità di intervenire, anche la domenica!
Ripeto: bastava rispondere a una mail e accendere quella maledetta VM! E abbiamo dovuto aspettare lunedì alle 10 perchè accadesse..

Ma tanto avete comunque ragione voi. La cosa certa è che avete perso un cliente.

P.

[zerohack]

Noi abbiamo risolto reinstallando il sistema operativo.
Faccio fede che se si aggiorna il SO questi problemi di
bypass con backdoor non ci sarebbero.
State attenti invece ai software di terze parti, tipo xampp
versione apache, ssl che invece di proteggere col crypt, permette
l'accesso (vecchie versioni)
isapi.dll (attenzione alla versione
WEBDAV (permette l'invio files da remoto e loro esecuzione)
Ragazzi, benvenuti nel mondo sysadmin!
Scaricatevi Acunetics web vulnerability scanner
ne scoprirete delle belle sui vostri server!
Quando vi installate un sistema operativo,
esso é di default, e quindi penetrabile amici!
Non basta averlo installato e messo online!
Adesso avviene il DURO lavoro di divenire çAMER di voi stessi!
Dovete fare dei test penetration, iscrivervi nelle
liste forum di hacker's (se cosi vogliamo chiamare questi)
iscrivervi e scaricarvi METASPLOIT
e se imparate bene, dopo qualche test ed exploit avviato,
vi trovate root del vostro server
senza username e password! Grave? OVVIO!
Ma voi quindi saprete quale servizio, quale software
bisognerà fixare, rimuovere, aggiornare!
Giacomo

[Gnoll]

Ma posso sapere perchè sono l'unico che non si lamenta?


Io ho avuto due "emergenze" in 3 anni, che vi racconto di seguito:

Emergenza numero 1:
Hacking del server - il 01/11/2010 ( mio compleanno sigh -.-' ) il server dedicato della mia ditta viene spento ( ore 10.00 se non sbaglio ), ore 12:00 apro un ticket con priorità "emergenza", alle 14:00 mi rispondono che l'hanno riavviato in rescue mode, alle 15:00 avevo rimosso il "rootkit" e riavviato il server. Tempo di downtime: 5 ore.

Emergenza numero 2:
Per un mio cliente stavo effettuando un attività di notte su un vps, il vps aveva l'hard disk pieno e non rilasciava spazio, e il cliente non sapeva la password del server, ho provato a richiedere la password da pannello due volte, alla seconda la procedura si è bloccata e dopo 5 minuti di attesa ho chiamato il numero emergenze di ovh, dove mi ha risposto un operatore in inglese e dopo avergli spiegato la situazione mi ha riavviato il server.
Il giorno dopo ho inviato una mail a supporto@ovh.it perchè non aveva cambiato la password ( mail inviata alle 16:00 ) ed ho ricevuto una risposta alle 18:00 esaustiva.

Il cambio password l'ho effettuato riavviando il server in single user mode da kvm web.

E poi valutiamo una cosa, OVH è una società internazionale, che per esistere un sede dedicata all'italia vuol dire che deve averci come minimo 5000 clienti.
I pochi problemi che ho letto su questo forum equivalgono ad uno puntino microscopico in confronto a quella che è la somma di clienti che detiene OVH.

Inoltre esattamente come lo SLA viene massimizzato, i problemi vengono "minimizzati", questo non significa che essi non esistano, o che il server "sta sempre su", significa che si cerca in tutti i modi di raggiungere quell'obiettivo, nel modo da avere una percentuale molto bassa ( es. sla 0,01% downtime annuo permesso ) di problemi, e se c'è un errore può capitare, è calcolato. Ricordiamoci che errare è umano, e OVH è gestita da umani.

Quindi se capita qualche problema, non dobbiamo pensare "è ovh che è così", ma semplicemente "che sfiga! l'unico problema in un anno è capitato proprio a noi".