Перебор паролей по SSH (кто-то упорно пытается взломать сервер)

[gramozeka]

Уважаемые подскажите как быть . Вот уже на протяжении месяцев двух наблюдаю в логох такую картину :

Код: Выделить всё

(фрагмент)
..........
..........
Apr 15 10:31:22 Android sshd[11910]: Invalid user cesario from 124.124.9.44
Apr 15 10:31:22 Android sshd[11910]: Failed password for invalid user cesario from 124.124.9.44 port 50496 ssh2
Apr 15 10:31:26 Android sshd[11915]: Invalid user cesya from 124.124.9.44
Apr 15 10:31:26 Android sshd[11915]: Failed password for invalid user cesya from 124.124.9.44 port 50668 ssh2
Apr 15 10:31:29 Android sshd[11920]: Invalid user cezary from 124.124.9.44
Apr 15 10:31:29 Android sshd[11920]: Failed password for invalid user cezary from 124.124.9.44 port 50764 ssh2
Apr 15 10:31:33 Android sshd[11922]: Invalid user chabane from 124.124.9.44
Apr 15 10:31:33 Android sshd[11922]: Failed password for invalid user chabane from 124.124.9.44 port 50856 ssh2
Apr 15 10:31:36 Android sshd[11925]: Invalid user chabert from 124.124.9.44
Apr 15 10:31:36 Android sshd[11925]: Failed password for invalid user chabert from 124.124.9.44 port 50947 ssh2
Apr 15 10:31:39 Android sshd[11931]: Invalid user chad from 124.124.9.44
Apr 15 10:31:39 Android sshd[11931]: Failed password for invalid user chad from 124.124.9.44 port 51037 ssh2
...............
и т.д. примерно на 1.7МБ

какбы понятно , что пытаются подобрать доступ к машине , подскажите как можно с этим бороться тотально , IP атакующего разные (где-то с десяток уже насобирал) , ...

[Nazyvaemykh]

Можно использовать критерий ‘recent’ в правилах ipbtables, вот тут, например, описано как.

Или можно использовать такие специальные программы, как fail2ban (http://fail2ban.org), которые анализируют логи на предмет наличия подбора пароля и предпринимают необходимые действия…

[NSV]

повесить ssh на нестандартный порт и открыть в iptables доступ к этому порту только с определенных адресов, если конечно они определены и их конечное множество.

[gramozeka]

... Критерий recent действенно , попробую попользовать , спасибо за подсказку

[4yKoTkA]

Погуглите ещё к примеру "port knocking".

[patrius]

ИМХО NSV +1.
У мну как раз так и реализовано )
+ запрет на вход непосредственно root'ом

[Poor Fred]

Есть еще маленький демон denyhosts. Заносит адреса долбящихся в /etc/hosts.deny.

[pelmen]

А еще лучше в интернет вешать ssh только с ключевой авторизацией

[Serega86]

Знакомая ситуация поменял порт 22 на другой и все прекратилось

[Voler]

Код: Выделить всё

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --name SSH --set
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --name SSH --update --seconds 60 --hitcount 2 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -j ACCEPT

Ну и тек, кто попался таки за частыми подключками.

Код: Выделить всё

iptables -I INPUT -i eth0 -p tcp -s bad_adress -d your_gw --dport 22 -j DROP

bad_adress - те кто перебирает.
your_gw - ваш адрес.
Если что подправьте меня.
И этот в топик для начинающих.

[drBatty]

Если что подправьте меня.

подбирают ботнеты - заражённые вендомашины с динамическим IP. Нет никакого смысла их банить. Достаточно поменять порт. Кроме того, лично я использую второй протокол и авторизацию по ключу.

[Voler]

Ладно, дадно я использую не стандартный порт и блокировку, что топиком выше.

[drBatty]

Ладно, дадно я использую не стандартный порт и блокировку, что топиком выше.

а я не использую блокировку - в этом нет никакого смысла ИМХО.

[broom]

Есть ещё sshguard, который временно банит такие хосты.

[ieleja]

fail2ban
http://www.fail2ban.org/wiki/index.php/Main_Page

Fail2ban scans log files like /var/log/pwdfail or /var/log/apache/error_log and bans IP that makes too many password failures. It updates firewall rules to reject the IP address.

[SLEDopit]

имхо, если без авторизации по ключам, то лучше всего нестандартный + fail2ban. ну и ограничение по логинам. в идеале и по ип, но это не всегда выполнимо.

[patrius]

+1 к drBatty.
У меня на сервере собиралось до 3к белых адресов, которые пытались ломать мну по ssh.

Все закончилось после смены порта.

приведенное тобой решение также интересно, но я не считаю, что подобное имеет смысл.
И, ИМХО, для начинающих это мальца сложновасто...

[t.t]

Если адреса плавающие, то любые способы банов по ip (включая автоматические вроде recent и fail2ban) почти бессмысленны: скорее всего долбятся действительно не с одной машины и с динамическими айпишниками. Если айпишников мало и они всё время повторяются, тогда может иметь смысл.

Нестандартный порт плюс закрытие авторизации по паролю -- самый простой из достаточно надёжных способов.

[drBatty]

Если айпишников мало и они всё время повторяются, тогда может иметь смысл.

ну и какой в этом смысл? атака идёт с определённых IP, а значит определённым человеком. Не проще-ли разобраться с этим человеком? К тому-же, это вроде-бы уголовное преступление (юристы меня поправят, если что).

Нестандартный порт плюс закрытие авторизации по паролю -- самый простой из достаточно надёжных способов.

ИМХО это необходимое действие. Остальное - опционально.

[t.t]

Если айпишников мало и они всё время повторяются, тогда может иметь смысл.

ну и какой в этом смысл? атака идёт с определённых IP, а значит определённым человеком. Не проще-ли разобраться с этим человеком? К тому-же, это вроде-бы уголовное преступление (юристы меня поправят, если что).

Если человек этот физически находится в "очень сильно другой стране", то технические средства могут быть элементарно доступнее. Тем более что это тоже не исключает возможности чисто программной (вирусной или вроде того) атаки, о которой владелец машины ничего и не знает.

[sash-kan]

атака идёт с определённых IP, а значит определённым человеком.

определённым бинарником из определённого windows-бот-нета. imho.

[t.t]

атака идёт с определённых IP, а значит определённым человеком.

определённым бинарником из определённого windows-бот-нета. imho.

В том числе и это я имел ввиду:

Тем более что это тоже не исключает возможности чисто программной (вирусной или вроде того) атаки, о которой владелец машины ничего и не знает.

[drBatty]

Если человек этот физически находится в "очень сильно другой стране", то технические средства могут быть элементарно доступнее

ну в общем - да. ко мне в последнее время стали долбится почему-то из Калифорнии...

атака идёт с определённых IP, а значит определённым человеком.

определённым бинарником из определённого windows-бот-нета. imho.

обычно диапазон IP ботнетов очень широк. Я имел ввиду под "определённые IP" - например пуллы определённого провайдера с динамическим распределением IP. Просто кто-то один получает разные IP. Но в очень узком и вполне определённом диапазоне.

[gramozeka]

После применения recent в iptables и fail2ban количество атак резко сократилось до 2-3 за день , которые рубятся на корню , ессно запрет входа по паролю , запрет входа root'а и т.п. стандарные настройки безопасности для sshd выполнены , видимо это не отдельно взятый "кекс" , а таки ботнет-сеть я полагаю (судя по диапазону айпишников коих насобирал уже десятка два) .

[sash-kan]

Просто кто-то один получает разные IP. Но в очень узком и вполне определённом диапазоне.

или бот-нетовский вирус позаражал компьютеры в большой локальной сети.
варианты можно разные придумать.

[drBatty]

или бот-нетовский вирус позаражал компьютеры в большой локальной сети.
варианты можно разные придумать.

угу. но в этом случае наверное будут и атаки из других сетей - не думаю, что вирус заразит ОДНУ локалку.

[gramozeka]

или бот-нетовский вирус позаражал компьютеры в большой локальной сети.
варианты можно разные придумать.

угу. но в этом случае наверное будут и атаки из других сетей - не думаю, что вирус заразит ОДНУ локалку.

тогда вопрос по ходу , а имется ли возможность как-то определить что за вирус и собсно что за ботнет (так-как и из нашей подсети есть айпишники) .

[sash-kan]

так-как и из нашей подсети есть айпишники

так взломайте их! двух зайцев убъёте: во-первых, узнаете, что же там порезвилось, во-вторых, собственный ботнет организуете (улыбка)

[drBatty]

тогда вопрос по ходу , а имется ли возможность как-то определить что за вирус и собсно что за ботнет (так-как и из нашей подсети есть айпишники) .

а вы в поддавки сыграйте - скачайте из вашей сетке самую варезную венду, и пару варезных гам, вас и заразят. Если венду ставить в виртуалке, то можно её и поковырять потом - что, куда, и почём. (:

[neol]

тогда вопрос по ходу , а имется ли возможность как-то определить что за вирус и собсно что за ботнет (так-как и из нашей подсети есть айпишники) .

Напишите провайдеру, приложив кусок лога с атакой, что вот такой нехороший человек пытается пароль к машинке подобрать. Некоторые честно реагируют на такие вещи и ставят пользователей в известность. Билайн и йота точно реагируют.

так взломайте их! двух зайцев убъёте: во-первых, узнаете, что же там порезвилось, во-вторых, собственный ботнет организуете (улыбка)

И получите крышу над головой, решетки на окнах, трехразовое питание и удобную полосатую одежду.

а вы в поддавки сыграйте - скачайте из вашей сетке самую варезную венду, и пару варезных гам, вас и заразят. Если венду ставить в виртуалке, то можно её и поковырять потом - что, куда, и почём. (:

3. Участнику не разрешается:
3.9. Обсуждение незаконного ПО в любой форме, как прямые, так и косвенные указания на возможность нахождения такового.
http://unixforum.org/index.php?act=boardrules