Kleptokratie

Ich benutze die Googlesuche eigentlich nicht mehr aber ab und zu zeigt das Werkzeug gute Zusammenhänge auf.

Rauchmelder testen

Gestern Abend gab es in den Nachrichten wieder eine Nachricht über einen Hausbrand und da dachte ich man könnte ja mal wieder….

Wann habt Ihr das letzte mal Eure Rauchmelder getestet?

Hurensöhne

stand auf der Regenbogenfahne die Menschen bei uns geklaut haben und dann im Mülleimer entsorgt haben.

Seit Mitte letzten Jahres hängt bei uns am Haus eine Regenbogenfahne. Leider mussten wir die Fahne vom Kamin runter holen und haben die dann an einen kleinen Fahnenmast an den Carport gehängt.

Leider nicht “sabotagesicher”. Gestern morgen war sie weg und beim Hundespaziergang haben wir sie in einem Mülleimer in der Nähe gefunden.

Anscheinend gibt es immer noch viele Menschen die so ein Zeichen der Toleranz aufregt.

Die nächste Fahne ist schon bestellt und wahrscheinlich auch ein neuer Fahnenmast.

Wp-Login Angreifer mit Crowdsec aussperren

Ich wollte crowdsec um eine einfache Regel erweitern. Alle Zugriffe auf die normale Wordpress Login url wp-login.php auf meinem Blog sind als Angriffe aufzufassen und die Absendeadresse soll von Crowdsec geblockt werden.

Die folgende “Dokumentation” dient nur als meine persönliche Gedächtnisstütze und hat keinerlei Anspruch auf Korrektheit. Bei mir hat es halt so geklappt und den nächsten Usecase würde ich wieder so angehen.

Ich beginne mir eine kleine Testdatei mit den relevanten Logdaten zu erstellen

 grep wp-login /usr/local/www/www-hb/logs/nx-error.log > wp-login.log

Dann erstelle ich einen Parser

vi /usr/local/etc/crowdsec/parsers/s01-parse/nginx-logs-hb.yaml

filter: "evt.Parsed.program startsWith 'nginx'"
onsuccess: next_stage
name: hagen-bauer/nginx-logs-hb
description: "Parse nginx error logs"
nodes:
  - grok:
      pattern: '(%{IPORHOST:target_fqdn} )?%{NGINXERRTIME:time} \[%{LOGLEVEL:loglevel}\] %{NONNEGINT:pid}#%{NONNEGINT:tid}: (\*%{NONNEGINT:cid} )?%{GREEDYDATA:message}, client: %{IPORHOST:remote_addr}, server: %{DATA:target_fqdn}, request: "%{WORD:verb} %{URIPATHPARAM:request} HTTP/%{NUMBER:http_version}", host: "%{IPORHOST}(:%{NONNEGINT})?"'
      apply_on: message
      statics:
        - meta: log_type
          value: http_error-log
        - target: evt.StrTime
          expression: evt.Parsed.time
    pattern_syntax:
      NO_DOUBLE_QUOTE: '[^"]+'
    onsuccess: next_stage
    nodes:
      - filter: "evt.Parsed.message contains 'wp-login'"
        statics:
          - meta: log_type
            value: "nginx_wplogin"
statics:
  - meta: service
    value: http
  - meta: source_ip
    expression: "evt.Parsed.remote_addr"
  - meta: http_status
    expression: "evt.Parsed.status"
  - meta: http_path
    expression: "evt.Parsed.request"
  - meta: http_verb
    expression: "evt.Parsed.verb"
  - meta: http_user_agent
    expression: "evt.Parsed.http_user_agent"
  - meta: target_fqdn
    expression: "evt.Parsed.target_fqdn"
``

und das ganze teste ich zuerst

cscli explain --file wp-login.log --type nginx

line: 2021/11/19 02:01:26 [error] 71930#100755: *453882 open() "/usr/local/www/html/wp-login.php" failed (2: No such file or directory), client: 193.142.146.138, server: www.hagen-bauer.de, request: "GET /wp-login.php HTTP/1.1", host: "www.hagen-bauer.de"
        ├ s00-raw
        |       ├ 🟢 crowdsecurity/non-syslog (first_parser)
        |       └ 🔴 crowdsecurity/syslog-logs
        ├ s01-parse
        |       └ 🟢 hagen-bauer/nginx-logs-hb (+16 ~3)
        ├ s02-enrich
        |       ├ 🟢 crowdsecurity/dateparse-enrich (+2 ~1)
        |       ├ 🟢 crowdsecurity/geoip-enrich (+13)
        |       ├ 🔴 crowdsecurity/http-logs
        |       └ 🟢 crowdsecurity/whitelists (unchanged)
        ├-------- parser success 🟢
        ├ Scenarios

Wichtig ist das da was gefunden wird und kein “parser failed” am Ende steht. Jetzt finden wir was aber wir müssen noch sagen was mit den Ergebnissen getan werden soll. Das geschieht in einem “Scenario”

vi /usr/local/etc/crowdsec/scenarios/http-wordpress-login-xmlrpc.yaml

type: leaky
format: 2.0
#debug: true
name: hagen-bauer/http-wordpress-login-xmlrpc
description: "Detect attempt to access to wp-login "
filter: "evt.Meta.log_type == 'nginx_wplogin' "
groupby: "evt.Meta.source_ip"
#distinct: evt.Parsed.request
capacity: 4
leakspeed: 2m
blackhole: 5m
labels:
  service: nginx
  type: bruteforce
  remediation: true

Und noch mal prüfen ob was passiert

cscli explain --file wp-login.log --type nginx

line: 2021/11/19 02:01:26 [error] 71930#100755: *453882 open() "/usr/local/www/html/wp-login.php" failed (2: No such file or directory), client: 193.142.146.138, server: www.hagen-bauer.de, request: "GET /wp-login.php HTTP/1.1", host: "www.hagen-bauer.de"
        ├ s00-raw
        |       ├ 🟢 crowdsecurity/non-syslog (first_parser)
        |       └ 🔴 crowdsecurity/syslog-logs
        ├ s01-parse
        |       └ 🟢 hagen-bauer/nginx-logs-1bs3 (+16 ~3)
        ├ s02-enrich
        |       ├ 🟢 crowdsecurity/dateparse-enrich (+2 ~1)
        |       ├ 🟢 crowdsecurity/geoip-enrich (+13)
        |       ├ 🔴 crowdsecurity/http-logs
        |       └ 🟢 crowdsecurity/whitelists (unchanged)
        ├-------- parser success 🟢
        ├ Scenarios
                └ 🟢 hagen-bauer/http-wordpress-login-xmlrpc

Jetzt kann man von einem anderen Rechner durch wiederholten Aufruf der wp-login.php mal prüfen ob eine “Entscheidung” gefällt worden ist

 # cscli decision list
+---------+----------+--------------------+---------------------------------------+--------+---------+------------------------+--------+--------------------+----------+
|   ID    |  SOURCE  |    SCOPE:VALUE     |                REASON                 | ACTION | COUNTRY |           AS           | EVENTS |     EXPIRATION     | ALERT ID |
+---------+----------+--------------------+---------------------------------------+--------+---------+------------------------+--------+--------------------+----------+
| 95xxx81 | crowdsec | Ip:140.238.175.147 | hagen-bau/http-wordpress-login-xmlrpc | ban    | CH      | 31898 ORACLE-BMC-31898 |      5 | 2h10m34.812851056s |      951 |
+---------+----------+--------------------+---------------------------------------+--------+---------+------------------------+--------+--------------------+----------+

Blutspenden

Hier der übliche Aufruf (wieder) Blut spenden zu gehen. Ich war heute, wann geht Ihr?

Radreisen an der Mosel

Die letzten 3 Tagen habe ich mit K2 eine kleine Radwanderung an der Mosel genossen. Wenn Ihr auf der Suche nach einer Strecke seit auf der Ihr das Radreisen mit Zelt einmal ausprobieren wollte ist das eine ideale Strecke. Naturgemäß ohne große Steigungen geht es durch die schöne Landschaft an der Mosel.

Die Radstrecke geht immer über gute Radwege und ist, wenn sie an der Bundesstraße entlang führt, deutlich getrennt. Also auch für Fahrten mit kleineren Kindern geeignet.

Von uns zu Hause ging es am Freitag ca 60 km nach Koblenz auf den Campingplatz gegenüber vom deutschen Eck wo die Mosel in den Rhein mündet. Die nächsten 2 Tage dann jeweils knapp 70 km mit reichlich Zeit für Pausen. Eigentlich war der Plan noch etwas weiter zu fahren aber die angekündigten 36 Grad haben uns doch zu einer kleinen Verkürzung bewogen.

Nach einer kleinen Moselbootsfahrt sind wir dann mit der Bahn wieder nach Hause gefahren. Die Moselbootsfahrt war entspannend und schön. Die Bahnfahrt mit den Regionalzügen und vollgepackten Fahrrädern in Zeiten des 9 Euro Tickets war, sagen wir mal, nicht ganz so entspannend. Aber wir sind heile und pünktlich zu Hause angekommen.

Ein sehr sicherer und schöner Einstieg in das Radreisen.

weiter lesen ->

Digitalisierung im Gesundheitswesen

Das berühmte Bonusheft ist ja wirklich ein Sinnbild für die Analogisierung im Gesundheitswesen.

Es ist ja eine gute Sache wenn man die regelmässigen Vorsorgeuntersuchungen beim Zahnarzt finanziell belohnt. Aber warum macht man den Zuschuss von einem so einem kleinen Heft abhängig.

Ich bin sei fast 20 Jahren bei einer Krankenkasse. Die haben jede Abrechnung vorliegen. Und selbst wenn ich wechseln würde könnte ich einen Auszug meiner Daten verlangen.

Aber nein…

Notfallvorsorge für den Winter

Die ersten Landkreise bereiten sich darauf vor im Winter zentrale geheizte Notunterkünfte bereitstellen zu können

Wärmestuben mit Schlafmöglichkeiten und warmen Getränken: Schon jetzt stünden Feldbetten, Schlafsäcke und auch Hygieneartikel in Lagern bereit. Das sei aber unabhängig von der Gasmangellage, auch bei einem flächendeckenden Stromausfall könnten diese Dinge zum Einsatz kommen.

Ich hoffe das dem Beispiel alle folgen werden. Ich erwarte aber auch hier wieder Kreise die im Winter voll überrascht dastehen werden.

Gesetzestreue noch mal im Koalitionsvertrag verankern

Gestern habe ich etwas zum Koalitionsvertrag in NRW geschrieben.

Heute fand ich einen Hinweis auf folgende Formulierung im Vertrag für Schleswig Holstein .

Die Vorgaben der Datenschutzgrundverordnung (DSGVO) sind auch für Schleswig-Holstein maßgeblich.

Macht mich schon mistrauisch wenn die Regierung die Beachtung von Gesetzen in einen Koalitionsvertrag schreiben muss.

Was ist mit den Gesetzen die dort nicht erwähnt werden?

Ein Koalitionsvertrag der Absichtserklärungen

Also das in einem Koalitionsvertrag nicht jedes Detail bestimmt werden kann verstehe ich ja. Aber wenn man mal eine Sammlung möglichst vager und unverbindlicher Sprachkonstrukte braucht ist der Koalitonsvertrag von CDU und Grünen eine Goldgrube von Formulierungen.

Es ist schon wirklich schwer Sätze zu finden in denen ein konkretes messbares Ziel mit einem Datum innerhalb der Legislaturperiode zu finden. Ja sie kommen vor aber gerade in den Bereichen Klimaschutz nur homöopatisch.

Die Formulierung zur Tagebau rund um Lützerath ist die Krönung:

Mit dem bergbautreibenden Unternehmen wird ein Einvernehmen darüber hergestellt,welche Tagebauflächen bis zur Fertigstellung der neuen Leitentscheidung noch genutzt und welche anderweitigen Eingriffe bis dahin noch erfolgen werden.

Ich bin mir Sicher das bei RWE die Sektkorken knallen werden. Die haben doch gar keine Grund über etwas zu verhandeln was die Gerichte Ihnen zugesprochen haben. Wenn da keine klare gesetzliche Änderung kommt können die einfach weiter mmachen.

Auch im Bereich IT wenig konkretes. z.B.

Wir legen Wert auf die digitale Souveränität des Landes Nordrhein-Westfalen. Zu den wesentlichen Maßnahmen gehören offene Standards und Schnittstellen bei öffentlichen IT-Projekten. Entwicklungsaufträge werden möglichst als Open Source beauftragt.

Warum steht das nicht “grundsätzlich”?

Ja ein Vertrag für die Zukunft aber kein Vertrag für eine bessere Zukunft.

Mal ein Lob für das Fundbüro der Deutschen Bahn

Also da war ich schon positiv überrascht. Bei einer Bahnfahrt nach Hamburg hatte ich mein Netzteil im Abteil vergessen.

Wieder zu Hause habe ich den Verlust online mit Angabe Zugnummer und Sitzplatz gemeldet. Es hat zwar etwas gedauert aber nach 2 Wochen bekam ich eine Mail aus Sylt das das gute Stück gefunden sein.

Der Versand kostete dann 20 Euro.