/ Var / log / secure içinde “OLASI KIRILMA TAVSİYE!” - bu ne anlama geliyor?

VPS platformunda çalışan bir CentOS 5.x kutum var. VPS sunucum, bağlantı hakkında sahip olduğum bir destek sorusunu yanlış yorumladı ve bazı iptables kurallarını etkili bir şekilde siler. Bu, standart portta ssh dinlemesi ve port bağlantı testlerinin onaylanmasıyla sonuçlandı. Can sıkıcı.

İyi haber şu ki, SSH Yetkili Anahtarlarına ihtiyacım var. Söyleyebileceğim kadarıyla, başarılı bir ihlal olduğunu sanmıyorum. Yine de / var / log / secure'de gördüğüm şeyler konusunda hala endişeliyim:

Apr 10 06:39:27 echo sshd[22297]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:27 echo sshd[22298]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:31 echo sshd[22324]: Invalid user edu1 from 222.237.78.139
Apr 10 06:39:31 echo sshd[22324]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:31 echo sshd[22330]: input_userauth_request: invalid user edu1
Apr 10 13:39:31 echo sshd[22330]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:35 echo sshd[22336]: Invalid user test1 from 222.237.78.139
Apr 10 06:39:35 echo sshd[22336]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:35 echo sshd[22338]: input_userauth_request: invalid user test1
Apr 10 13:39:35 echo sshd[22338]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:39 echo sshd[22377]: Invalid user test from 222.237.78.139
Apr 10 06:39:39 echo sshd[22377]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:39 echo sshd[22378]: input_userauth_request: invalid user test
Apr 10 13:39:39 echo sshd[22378]: Received disconnect from 222.237.78.139: 11: Bye Bye

"Olası KIRILMA TAVSİYESİ" ne anlama geliyor? Başarılı oldu mu? Ya da isteğin geldiği IP’yi beğenmedi mi?

Ne yazık ki bu şimdi çok yaygın bir olay. Sisteminize girmeyi denemek ve 'ortak' kullanıcı adlarını kullanan SSH'ye otomatik bir saldırıdır. Mesaj tam olarak ne yazdığı anlamına gelir, bu sizin saldırıya uğradığınız anlamına gelmez, sadece birileri denemiştir.

"Olası BREAK-IN ATTEMPT" kısmı özellikle "ters haritalama kontrolü getaddrinfo başarısız oldu" bölümü ile ilgilidir. Bağlanan kişinin doğru bir şekilde yapılandırılmış DNS ileri ve geri almadığı anlamına gelir. Bu, özellikle "saldırının" nereden geldiği ISS bağlantıları için oldukça yaygındır.

"OLASI KIRILMA TAVSİYESİ" mesajı ile ilgisiz, kişi aslında ortak kullanıcı adlarını ve şifrelerini kullanarak girmeye çalışıyor. SSH için basit şifreler kullanmayın; Aslında şifreleri tamamen devre dışı bırakmak ve sadece SSH anahtarlarını kullanmak için en iyi fikir.

"Tam olarak" OLASI KIRILMA TUTMASI "ne demek?

Bu, netblock sahibinin PTR kaydını kendi aralığı içinde statik bir IP için güncellemediği ve söz konusu PTR kaydının eski olduğu veya bir ISP'nin dinamik IP müşterileri için uygun ters kayıtlar oluşturmadığı anlamına gelir. Bu, büyük ISS'ler için bile çok yaygındır.

Uygunsuz PTR kayıtlarına sahip bir IP’den (yukarıdaki nedenlerden biri nedeniyle) gelen bir IP’yi sunucunuza SSH’yi denemek için ortak kullanıcı adlarını kullanmaya çalıştığı için (muhtemelen kaba saldırı veya belki de dürüst bir hata) ).

Bu uyarıları devre dışı bırakmak için iki seçeneğiniz vardır:

1) Statik IP'niz varsa , ters eşlemenizi / etc / hosts dosyasına ekleyin (daha fazla bilgiye buradan bakın ):

10.10.10.10 server.remotehost.com

2) Dinamik bir IP'niz varsa ve bu uyarıları gerçekten ortadan kaldırmak istiyorsanız, / etc / ssh / sshd_config dosyanızdaki "GSSAPIAuthentication yes" yazısını yorumlayın.

Sshd_config (UseDNS no) içindeki geriye doğru aramaları kapatarak kayıtlarınızın okunmasını ve kontrol edilmesini kolaylaştırabilirsiniz . Bu, sshd'nin "Olası KIRILMA TARAFI ATTEMPT" içeren "gürültü" satırlarını kaydetmesini önleyecektir, "IPADDRESS'ten geçersiz kullanıcı kullanıcısı" içeren biraz daha ilginç satırlara konsantre olmanızı sağlar.

Başarılı bir giriş yapmanıza gerek yok, ancak "gönderilebilir" ve "girişimi" dediği şey.

Bazı kötü çocuk veya senaryo kiddie, sahte kökenli IP ile hazırlanmış trafik gönderiyor.

SSH anahtarlarınıza kaynak IP sınırlamaları ekleyebilir ve fail2ban gibi bir şey deneyebilirsiniz.