как защищаетесь от ssh ботов?

3

1

привет.

глянул в /var/log/auth.log, и немножко офегел.

Jan 12 13:53:19 xxx sshd[9976]: pam_unix(sshd:auth): check pass; user unknown
Jan 12 13:53:19 xxx sshd[9976]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=metrogroupcorp.com
Jan 12 13:53:21 xxx sshd[9976]: Failed password for invalid user kevin from 69.66.200.49 port 49234 ssh2
Jan 12 13:53:21 xxx sshd[9976]: Received disconnect from 69.66.200.49: 11: Bye Bye [preauth]
Jan 12 13:53:22 xxx sshd[9978]: Invalid user khoi from 69.66.200.49
Jan 12 13:53:22 xxx sshd[9978]: input_userauth_request: invalid user khoi [preauth]
Jan 12 13:53:22 xxx sshd[9978]: pam_unix(sshd:auth): check pass; user unknown
Jan 12 13:53:22 xxx sshd[9978]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=metrogroupcorp.com
Jan 12 13:53:25 xxx sshd[9978]: Failed password for invalid user khoi from 69.66.200.49 port 47995 ssh2
Jan 12 13:53:25 xxx sshd[9978]: Received disconnect from 69.66.200.49: 11: Bye Bye [preauth]
Jan 12 13:53:27 xxx sshd[9980]: Invalid user khuong from 69.66.200.49
Jan 12 13:53:27 xxx sshd[9980]: input_userauth_request: invalid user khuong [preauth]
Jan 12 13:53:27 xxx sshd[9980]: pam_unix(sshd:auth): check pass; user unknown
Jan 12 13:53:27 xxx sshd[9980]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=metrogroupcorp.com

и такого дела, мегабайт 30ть подряд. интенсивность удивляет.

нужно ли от подобного как-то защищаться(кроме как регулярной сменной паролей)? и если нужно, то как? возможно ли именно для sshd, добавить этот IP в черный список?

благодарен.

Ссылка

←	Отдельный keyword для оверлея

Поведение <Enter> на цифровой клавиатуре

→

Only rsa-key аутентификация.

Можно поставить fail2ban и первесить ссш на кастомный порт.

wlan ★★
(12.01.13 18:06:13 MSK)

Ответ на: комментарий от wlan 12.01.13 18:06:13 MSK

первесить ссш на кастомный порт

два чая этому господину

daemonpnz ★★★★★
(12.01.13 18:24:52 MSK)

Ссылка

Ответ на: комментарий от wlan 12.01.13 18:06:13 MSK

первесить ссш на кастомный порт.

Боты умные пошли, не спасает.

Black_Shadow ★★★★★
(12.01.13 19:03:43 MSK)

Ссылка

Ответ на: комментарий от wlan 12.01.13 18:06:13 MSK

Only rsa-key аутентификация.

а как такое делается?

поставить fail2ban и первесить ссш на кастомный порт.

а существует ли какой-то ман для этого процесса? или всемогущий гугл в помощь?

спасибо.

niXman ★★★
(12.01.13 19:16:29 MSK) автор топика

Первый этап - против тупых ботов - перевесить демон на другой порт (вторая или третья раскомментированная строка в /etc/ssh/sshd_config); второй - denyhosts или fail2ban.

leave ★★★★★
(12.01.13 19:19:40 MSK)

Ссылка

Ответ на: комментарий от wlan 12.01.13 18:06:13 MSK

Спасет только от возможности сбручивания пароля, но не от перегрузки сети и сервера.

leave ★★★★★
(12.01.13 19:20:10 MSK)

Перенос на другой порт — это глупость.

1. PermitRootLogin without-password

2. fail2ban или если bsd — встроенные возможности pf (пример могу привести)

beastie ★★★★★
(12.01.13 19:26:41 MSK)

Ответ на: комментарий от beastie 12.01.13 19:26:41 MSK

fail2ban

установил. для убунты, настройки по умолчанию включают только работу с ssh. что собственно и требовалось.

всем спасибо. вопрос закрыт.

niXman ★★★
(12.01.13 19:53:56 MSK) автор топика

Ссылка

Ответ на: комментарий от beastie 12.01.13 19:26:41 MSK

Интересен пример с PF. Если не трудно приведите пожалуйста.

trancefer ★★
(12.01.13 20:25:02 MSK)

Ответ на: комментарий от beastie 12.01.13 19:26:41 MSK

Перенос на другой порт — это глупость.

Однако таки помогает.

На одном сервере ломились постоянно, а после перевешивания перестали лезть вообще. Естественно, это решение против примитивных ботов, а не против взлома как такового.

risenshnobel ★★★
(12.01.13 21:09:37 MSK)

Ссылка

fail2ban.
И отключение парольной аутефикации.

tazhate ★★★★★
(12.01.13 21:11:02 MSK)

Ссылка

Ответ на: комментарий от niXman 12.01.13 19:16:29 MSK

а как такое делается?

Погугли чтоли ssh key.

tazhate ★★★★★
(12.01.13 21:11:54 MSK)

Ссылка

и если нужно, то как?

iptables recent вполне достаточно, если не хочется перекрывать доступ по ssh с произвольного хоста.

AS ★★★★★
(12.01.13 21:12:31 MSK)

Ссылка

вешать на порт выше 1024-го - у меня как-то висел на 1212 - все боты сходу отпали
fail2ban
ну и, естессно, запретить руту логиниться

megabaks ★★★★
(12.01.13 21:14:10 MSK)

Ссылка

Зачем от них защищаться?

~~qumo~~
(12.01.13 21:15:07 MSK)

Ссылка

Ответ на: комментарий от trancefer 12.01.13 20:25:02 MSK

Приведу, как только доберусь до дома. Это может быть завтра. Но я не забуду.

beastie ★★★★★
(12.01.13 23:07:52 MSK)

Ссылка

подстук портов

visual ★★★
(12.01.13 23:08:29 MSK)

Ссылка

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 2 --rttl --name SSH -j DROP

float
(12.01.13 23:09:32 MSK)

Ответ на: комментарий от float 12.01.13 23:09:32 MSK

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 2 --rttl --name SSH -j DROP

float
(12.01.13 23:10:52 MSK)

Ссылка

Ответ на: комментарий от trancefer 12.01.13 20:25:02 MSK

table <bruteforce> persist

block in quick on egress from <bruteforce>

pass in on egress proto tcp to port ssh keep state \
        (max-src-conn-rate 5/15, overload <bruteforce> flush global)

beastie ★★★★★
(12.01.13 23:20:00 MSK)

Ссылка

У меня ssh дает 3 попытки ввода пароля за раз. Брутеров банить можно как-то так.

-A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m hashlimit --hashlimit 1/hour --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name SSH --hashlimit-htable-expire 300000 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -j DROP

Итого, если сам облажался, пойду покурю и спокойненько войду после перекура. А брутеры в бане.

А можно замутить порт кнокер.

-A INPUT -p icmp --icmp-type 8 -m length --length 153 -m recent --name pk --rsource --set -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -m length --length 154 -m recent --name pk --rsource --update --hitcount 1 -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -m length --length 155 -m recent --name pk --rsource --update --hitcount 2 -j ACCEPT
-A INPUT -p tcp --dport 22 -m recent --name pk --rsource --rcheck --hitcount 3 -j ACCEPT
-A INPUT -p tcp --dport 22 -j DROP

Для того чтобы открыть 22 порт достаточно и необходимо

ping -s 125 -c 1 $server_ip
ping -s 126 -c 1 $server_ip
ping -s 127 -c 1 $server_ip

kombrig ★★★
(12.01.13 23:22:33 MSK)
Последнее исправление: kombrig 12.01.13 23:23:21 MSK (всего исправлений: 2)

Ссылка

Ещё можно давать доступ конкретному IP к SSH только при получении специально сформированного пакета на определённый порт. Но это извращение, конечно.

Sadler ★★★
(12.01.13 23:33:42 MSK)

Ссылка

Ответ на: комментарий от leave 12.01.13 19:20:10 MSK

fail2ban спасёт от перегрузки

wlan ★★
(13.01.13 01:05:08 MSK)

Ответ на: комментарий от wlan 13.01.13 01:05:08 MSK

Only rsa-key аутентификация.

_Можно_ поставить fail2ban

А мой комментарий относился к первой части твоего.

leave ★★★★★
(13.01.13 01:33:55 MSK)

Ответ на: комментарий от niXman 12.01.13 19:16:29 MSK

Only rsa-key аутентификация.

а как такое делается?

https://help.ubuntu.com/community/SSH/OpenSSH/Keys

Ты всегда можешь погуглить русский вариант если не можешь в английский. Ну и плюс PasswordAuth no, чтобы по паролям не пускало. Но тут будь осторожен, сначала проверь что работает, потом выключай парольную ;)

wlan ★★
(13.01.13 01:52:29 MSK)

Ссылка

Ответ на: комментарий от leave 13.01.13 01:33:55 MSK

Ну ты не зацитировал, я не телепат.

wlan ★★
(13.01.13 01:53:34 MSK)

Ссылка

а что они делают, если вдруг повезёт подобрать пароль?

Harald ★★★★★
(13.01.13 02:20:27 MSK)

Ответ на: комментарий от Harald 13.01.13 02:20:27 MSK

Инсталят на поломанную тачку свой софт и делают свои нехорошие дела. Я так уже попадал, когда поставил достаточно простой пасс на временную замену сервака.

Deleted
(13.01.13 02:51:17 MSK)