Gracias, Theliel , por tu interés.
>Un fallo en la firmware podría (en caso de que existiese repito) dejar el puerto abierto pese >estar deshabilitada la regla. Este escenario es potencialmente posible, y es sencillo de ver, >basta con acceder por detrás al Router y ver si las reglas siguen presente o no en iptables. >Obviamente si pese estar deshabilitadas las reglas siguen añadidas, es un fallo en la >firmware, no hay más.
No se como consultar la iptables que cita, pero puesto a curiosear, en el interface del router, en:
Configuracion avanzada -> Advanced setup -> NAT -> NAT -- Virtual Servers Setup
presenta algo que parece un resumen de las reglas de redirección, en el que las reglas desactivadas no aparecen. Aparecen todas las demas. Supongo que esto puede ser algún tipo de presentación de las IPtables que Vd. cita. Como nota, y respaldando su punto de vista, ninguna de las reglas supervivientes hace referencia al servidor atacado.
>Otra cosa totalmente diferente es que efectivamente el mapeo esté deshabilitado y las >reglas eliminadas. Si la regla está eliminada cualquier equipo está de facto protegido por >NAT. Existen técnicas para intentar (o lograr) saltarse la protección de un Firewall, por >supuesto, pero recuerda que estás detrás de un dispositivo NAT, aun cuando se saltasen el >Firewall del Router, no podrían alcanzar al equipo interno, no sabrían como llegar a él, para >eso se requiere una redirección por fuerza, con lo que si asumimos que la redirección está >deshabilitada, no hay camino para llegar al equipo.
Cierto, pero el hecho es que estan llegando.
Despertada ya la curiosidad, por su exposición, he seguido curioseando y en
Configuracion avanzada -> Advanced setup -> Security -> Ip Filtering,
hay una tabla, con una leyenda:
---------
By default, all incoming/outgoing IP traffic is droped/passed, but some IP traffic can be BLOCKED/ACCEPTED by setting up filters.
---------
En la que aparecen referencia al puerto 22, pero también sin destino.
No se que es, pero si tengo que apostar, lo haría por que está relacionada con el mantenimiento remoto por parte de Movistar.
-----------------------------------------------------
De los últimos dos escenarios que cita, el primero de ellos, lo veo improbable, porque desde ese servidor, nunca se accede, via web, al exterior. Sus servicios son, en un 99,9 % internos a la red local.
Respecto al último escenario, iniciar la llamada desde el interior, habría que considerar dos
aspectos.
El primero es que es un servidor de ficheros, y solo usa software del fabricante frecuentemente actualizado. No hay nada ajeno. Muy atrás en el tiempo quedó la necesidad de acceso remoto, que fué via VPN. Ahora rara vez accedo a él salvo, que mensajes de mantenimiento me lleven a echar una ojeada de supervisión.
El segundo punto, es que aceptando que se facilitase una sesión desde dentro, en principio no encuentro razón para que los ataques viniesen de un rango tan amplio de distintas IPs concentradas en el tiempo, y no desapareceria el problema por el hecho de cambiar la IP externa, o al menos no habría tanta separación temporal entre rachas de ataques, ¿Creo?.
¿Cesarían los ataques en caso de reinicializar el servidor?, Lo probaré la próxima vez.
En fin, esto es un brainstorming por mi parte. Ya le digo que solo soy un curioso (tenaz :-))sobre el tema de la seguridad.
Lo único que creo tener claro, en este momento, es que para penetrar se tiene que necesitar algo mas que un simple SSH al puerto, porque sino aparecerían reflejados muchos mas intentos y mas dispersos en el tiempo.
De nuevo, muchas gracias.
