Ssh portuna kaba kuvvet saldırılarını önlemek için hangi aracı veya tekniği kullanıyorsunuz? Güvenlik günlüklerimde, ssh aracılığıyla çeşitli kullanıcılar olarak giriş yapmak için milyonlarca denemem olduğunu fark ettim.
Bu bir FreeBSD kutusunda, ancak her yerde uygulanabilir olacağını düşünüyorum.
Yanıtlar:
İşte Rainer Wichmann'ın bu konuda iyi bir yazı .
Bunu yapmak için tez yöntemleri üzerinde artılarını ve eksilerini açıklar:
Yapılandırılabilir bir süre için birkaç başarısız denemeden sonra bir IP'yi kilitleyen fail2ban'ı kullanıyorum .
Kaba kuvvet saldırılarının başarılı olamayacağından emin olmak için bunu şifre kuvveti testiyle ( john (Ripper John) kullanarak ) kullanın.
TARPITkendinizi kötü hissediyorsanız (xtables-addons'dan) hedefine tcp trafiği gönderen bir iptables zinciri ile birleştirilebilir .
Ons yapabileceğiniz küçük şey DenyHosts gibi bir şey kullanmaktır:
http://denyhosts.sourceforge.net/
SSH kötüye kullanımlarını engellemek için yerleşik hosts.allow / hosts.deny işlevini kullanır.
Bu saldırılardan kaçınmanın en kolay yollarından biri, sshd'nin dinlediği portu değiştirmek.
Chris'in işaret ettiği gibi, şifreler yerine şifreleme anahtarlarını kullanın.
Buna ekle:
Genel ssh bağlantılarınıza gerçekten kaç kişi veya konum (kayan genel IP’ler ile) ihtiyacınız var?
Korumakta olduğunuz genel ssh ana bilgisayarlarının sayısına ve genel bağlantı ölçütlerinizi daraltıp sınırlayamayacağınıza bağlı olarak, birkaç harici ana bilgisayara erişimi sınırlandırmak daha basit ve bakımı kolay bir yapılandırma olabilir.
Bu sizin için işe yararsa, genel giderlerinizi gerçekten basitleştirebilir.
Diğer iyi önerilere ek olarak, yapılması gerçekten kolay olan bir şey, gelen bağlantıları hız sınırlamasıdır. IP başına dakikada 3 bağlantıyla sınırlandır:
iptables -A INPUT -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
Yalnızca küçük bir kullanıcı grubunun oturum açabilmesini sağlamak için sshd_config içindeki "AllowUsers" seçeneğini kullanın. Kullanıcı adı ve şifresi doğru olsa bile, diğerleri reddedilecektir.
Hatta girişlerinde kullanıcılar kısıtlamak gelen Belirli bir ana.
Örneğin,
AllowUsers user1 user2@host.example.com
Bu, arama alanını azaltacak ve yanlışlıkla bırakılmış veya etkinleştirilmiş olan eski kullanıcıların önüne geçecektir (elbette yine de devre dışı bırakılsalar da, bu SSH tabanlı bir giriş için kullanılmalarını durdurmanın kolay bir yoludur).
Bu kaba kuvvet saldırılarını tamamen durdurmaz, ancak riski azaltmaya yardımcı olur.
PF ile böyle bir şey kullanın:
<ssh-brute> tablosu
, ssh_brute etiketinden hızlı günlüğe kaydetme bloğunu
$ ext_if proto tcp'ye ($ ext_if) bağlantı noktası ssh modüle etme durumuna geçirir \
(max-src-conn-rate 3/10, aşırı yüklenme global)
Liman çalmak bu tür şeyleri dışarıda tutmanın oldukça sağlam bir yoludur. Hafifçe sahte, bazen sinir bozucu, ama kesinlikle konuyu ortadan kaldırıyor.
Bağlam önemlidir, ancak şöyle bir şey öneririm:
Bundan başka için sherbang en oran-sınırlayıcı öneri , gecikme süresi önemlidir. 3 giriş denemesi olan gruplar arasındaki gecikmeyi 2 dakikadan 20 dakikaya çıkartarak, üç den fazla giriş yapma denemesi yapan farklı IP adreslerinin sayısı bir makinemde iki hafta süren bir süreyi karşılaştırarak 44 denemeye 3 Bu üç adresin hiçbiri 11 saatten fazla denemeyi sürdürmedi.
Çok anekdot, ancak auth.log benim için daha okunaklı hale geldi ...
Sadece umrumda değil. Limanda kaymalarına izin verin, bir anahtarı zorla kullanmayacaklar.
OSSEC'i kurun. sadece tekrarlanan girişleri izlemiyor, aynı zamanda rahatsız edici ip için iptables ile geçici bir bloğa giriyor. Ve sonunda size detayları belirten bir rapor gönderecek. her şeyi kaydeder, ki bu güzel. Birisi bir keresinde giriş yapmak için 8000'den fazla oturum açma adı denedi. günlükleri ayrıştırdım ve anlaşma dışında güzel bir kullanıcı listesi elde ettim;)