Azures Abuse-Abteilung absoluter Ausfall

Halli-Hallo,

ich bin ja kein Freund davon, pauschal ganze IP-Präfixe von unseren Diensten auszusperren. Tautogramme als Überschrift sind aber kein Problem
Microsoft schafft es, dass ich meine Haltung zu den Sperren aktuell ernsthaft überdenke.

Dass wir Schmuddeltraffic aus den Netzen von Cloud-Anbietern wie Google, Amazon oder Azure bekommen, ist nicht übermäßig überraschend.
Momentan bekommen wir aber auffällig viele Portscans, Vulnerability Scans und Bruteforce aus der Azure-Cloud.
Bei einer der auffälligsten Attacken habe ich mir die Mühe gemacht, das Abuse-Formular von Microsoft auszufüllen. Als Beleg habe ich auch Auszüge aus unseren Logs beigefügt, die sehr eindeutig die Suche nach SQLi-Lücken zeigen.

Nicht ganz fünf Minuten nach Absenden des Formulars bekam ich vom Microsoft "Cyber Defense Operations Center" eine (wie ich vermute automatische) E-Mail, die mir mitteilt: Case Closure Notification.
Weil:


Ich verstehe das so, dass Microsoft sich nicht zuständig fühlt, da irgendwas zu machen. Ist ja schließlich nicht Microsoft sondern deren Kunde, der das Problem verursacht. Und der Kunde ist selbst verantwortlich. Aber es kann auch sein, dass ich dem Software-Hersteller aus Redmond da jetzt etwas unterstelle.

Währenddessen regnen weiterhin diese Scans auf zwei unserer Systeme hernieder. Wenn eine IP gesperrt wird, kommt die nächste.
Die ursprünglich gemeldete inkriminierende IP-Adresse ist übrigens weiterhin online und arbeitet sich weiterhin an den Honeypots ab. Wohlgemerkt nunmehr ca. 7 Stunden nach Reporting.
Dass Microsoft das "appropriately actioned" hat, will ich nicht bestreiten. Deren Definition von "appropriate" weicht aber von der verbreiteten Vorstellung einer angemessenen Reaktion stark ab.

Meine irritierte Nachfrage jedenfalls an das "CDOC Case Management", wie ich diese wenig effektive Art von Abuse-Handling denn nun verstehen müsste und ob der Abuse absehbar aufhören wird, blieb indes unbeantwortet.
Nachdem diese Art Scans von unserer WAF nicht so toll automatisch zurückgehalten wird, auf dem Backend aber durchaus Last erzeugt, habe ich also tatsächlich das Präfix 20.0/11 von Azure vorläufig manuell in die Sperrliste genommen.

Das scheint mir sowieso ein inhärentes Problem mit Cloud-Anbietern zu sein:
Google und Microsoft automatisieren das Abuse-Handling so, dass es nicht mehr funktioniert und das natürlich die Schmuddeltypen anzieht, die dann aus den Clouds heraus im Internet herumrandalieren. Das erzeugt dann noch mehr Abuse-Meldungen, dann wird noch stärker automatisiert...
Bei Amazon habe ich hingegen Erfolge verzeichnet und Beschwerden führen tatsächlich zeitnah zu einem brauchbaren Ergebnis.
Und bis Microsoft das Problem in den Griff kriegt, bleiben deren Präfixe gesperrt (bisher scheint es keine legitimen Requests getroffen zu haben).