ฉันตรวจสอบ /var/log/secure และฉันมีบันทึกเหล่านี้:
9 ก.ค. 13:02:56 localhost sshd[30624]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.172.1 37566
9 กรกฎาคม 13:02:57 localhost sshd[30624]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.172.1 พอร์ต 37566 [preauth]
9 กรกฎาคม 13:03:05 localhost sshd[30626]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.174.150 61445
9 กรกฎาคม 13:03:05 localhost sshd[30626]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.174.150 พอร์ต 61445 [preauth]
9 กรกฎาคม 13:03:16 localhost sshd[30628]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.169.37 62329
9 กรกฎาคม 13:03:24 localhost sshd[30628]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.169.37 พอร์ต 62329 [preauth]
9 กรกฎาคม 13:03:29 localhost sshd[30630]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.169.37 64099
9 กรกฎาคม 13:03:30 localhost sshd[30630]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.169.37 พอร์ต 64099 [preauth]
9 กรกฎาคม 13:03:45 localhost sshd[30632]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.174.150 22816
9 กรกฎาคม 13:03:46 localhost sshd[30632]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.174.150 พอร์ต 22816 [preauth]
9 กรกฎาคม 13:06:17 localhost sshd[30637]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.168.33 33176
9 กรกฎาคม 13:06:17 localhost sshd[30637]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.168.33 พอร์ต 33176 [preauth]
9 กรกฎาคม 13:07:09 localhost sshd[30639]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.173.152 61780
9 กรกฎาคม 13:07:25 localhost sshd[30641]: ผู้ดูแลระบบผู้ใช้ไม่ถูกต้องจากพอร์ต 223.196.168.33 54200
9 กรกฎาคม 13:07:26 localhost sshd[30641]: การเชื่อมต่อถูกปิดโดยผู้ดูแลระบบผู้ใช้ที่ไม่ถูกต้อง 223.196.168.33 พอร์ต 54200 [preauth]
...
ดูเหมือนว่ามีคนพยายามเข้าสู่ระบบโดย SSH ฉันปิดใช้งานการเข้าสู่ระบบโดยผู้ใช้รูทและเปิดใช้งานการเข้าสู่ระบบด้วยรหัสสาธารณะ/ส่วนตัว แต่นี่เป็นการโจมตี DDoS หรือไม่ และมันใช้ RAM/CPU หรือเปล่า?
ฉันควรทำอย่างไรดี?
นั่นเป็นเพียงเสียงพื้นหลังอินเทอร์เน็ตปกติของผู้คนที่สแกนหาเซิร์ฟเวอร์ที่มีช่องโหว่
คุณสามารถเพิ่มกฎ iptables เพื่อจำกัดอัตราการเชื่อมต่อขาเข้า (เช่น สี่ในสี่นาที) สำหรับการแก้ไขง่ายๆ (แต่นั่นจะล็อคคุณไม่ให้ใช้งานหากคุณเปิดการเชื่อมต่อมากเกินไปหรือมีคนปลอมแปลงแพ็กเก็ต SYN ที่มาจากที่อยู่ของคุณ):
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m ล่าสุด --update --seconds 240 --hitcount 4 --name ssh-v4 --mask 255.255.255.255 --rsource -j REJECT --reject-with tcp-reset
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m ล่าสุด --set --name ssh-v4 --mask 255.255.255.255 --rsource -j ACCEPT
วิธีแก้ไขที่เหมาะสมคือการใช้เครื่องมือเช่น ล้มเหลว 2 แบน ที่แยกวิเคราะห์ไฟล์บันทึกสำหรับการเข้าสู่ระบบที่ล้มเหลวและสร้างกฎไฟร์วอลล์ตามต้องการ -- ต้องตั้งค่าอีกเล็กน้อย แต่ต้องมีการเชื่อมต่อที่สร้างไว้แล้วและการตรวจสอบสิทธิ์ที่ล้มเหลวเพื่อทริกเกอร์ ดังนั้นมันจะไม่ตอบสนองต่อความพยายามในการเชื่อมต่อปลอมแปลงหรือการเข้าสู่ระบบที่สำเร็จ เช่น วิธีการง่ายๆไม่
ดังที่ @Simon Richter กล่าวถึงนั่นเป็นเพียงเสียงรบกวนจากอินเทอร์เน็ตและคุณไม่ควรกังวล สิ่งที่คุณต้องทำให้แน่ใจว่า:
การเปลี่ยนพอร์ตจะทำให้ปัญหาหมดไป แต่เปล่าเลย ความปลอดภัยผ่านความมืด และสามารถสร้างภาพลวงตาของความปลอดภัยในขณะที่ไม่มีเลย
ต่อไปนี้คือคำแนะนำอื่นๆ โดยรอบ SSH เช่นเดียวกับการโต้แย้งโต้แย้งกับข้อโต้แย้ง "แนวปฏิบัติที่ดีที่สุด" กระแสหลัก
คุณอยู่ในอินเดีย? ที่อยู่ IP ทั้งหมดที่ระบุไว้อยู่ในบล็อก:
223.196.160.0 - 223.196.191.255
ซึ่งตามฐานข้อมูล WHOIS จัดสรรให้
รายละเอียด: Andhra Pradesh State FiberNet Limited
ที่อยู่: 10-2-1 ชั้น III, FDC Complex, AC Guards, Hyderabad, Andhra Pradesh-500028
วิธีแก้ไขระยะสั้นวิธีหนึ่งคือบล็อกทั้งบล็อก 223.196.160.0/19 ที่ไฟร์วอลล์ แต่นั่นเป็นการจัดการที่อยู่ IP แบบไมโครและกลายเป็นการต่อสู้ที่ยากเย็นแสนเข็ญ
แต่คุณสามารถปฏิเสธ ssh ทั้งหมดได้ ยกเว้น IP ต้นทางที่คุณรู้ว่าเชื่อถือได้ เพียงดูแลไม่ให้ล็อคตัวเองจากโฮสต์ของคุณเอง หากคุณไม่มี IP แบบคงที่ คุณสามารถอนุญาตการบล็อกหรืออาจดูที่การเรียกใช้เซิร์ฟเวอร์ VPN บนโฮสต์
หรือหากคุณไม่ต้องการอนุญาตการเชื่อมต่อ SSH จากอินเทอร์เน็ต เพียงปฏิเสธและเปิดใช้งานอีกครั้งเมื่อจำเป็นเท่านั้น
นี่คือสคริปต์ง่ายๆ ที่ฉันเขียนขึ้นเพื่อบล็อกความพยายามที่ไม่ได้รับอนุญาตทั้งหมดในการลงชื่อเข้าใช้เซิร์ฟเวอร์ dev ของฉัน
#!/bin/bash
ban=$HOME/banned.txt
b_log=/var/log/banned.log
บันทึก () {
แมว $แบน | ยูนิค >> $b_log
}
l_log () {
สุดท้ายb | awk '{ พิมพ์ $3 }' | sed -r '/(จันทร์|อังคาร|พุธ|พฤหัสบดี|ศุกร์|เสาร์|อาทิตย์|บูต|tty2)/d' | จัดเรียง | sed '/^$/d' | ยูนิค | ที$แบน
}
หยด () {
สำหรับ x ใน $(แมว $แบน); ทำ iptables -A INPUT -s $x -j DROP; เสร็จแล้ว
}
l_log
หยด
บันทึก
rm -f $แบน
เสียงสะท้อน > /var/log/btmp
iptables-บันทึก
หากคุณตั้งค่าสคริปต์ให้ทำงานผ่าน cron ทุก ๆ นาที มันจะลดสัญญาณรบกวนในบันทึกของคุณลงอย่างมาก และบล็อก IP ที่ละเมิด โดยให้เวลาเพียง 1 นาทีในการพยายามใช้ความรุนแรงก่อนที่จะถูกบล็อก
เป็นความคิดที่ดีที่จะแทรก IP ของคุณและ IP อื่น ๆ ที่คุณเข้าถึงเซิร์ฟเวอร์ด้วยไฟร์วอลล์ของคุณ iptables -I INPUT -s xxx.xx.xxx.xx -j ยอมรับ
ระบบจะสร้างบันทึกของ IP ที่ถูกแบนทั้งหมด
sshd พอร์ตการฟังฟังดูง่าย แค่เปลี่ยนพอร์ตของคุณจากค่าเริ่มต้น 22 เป็นค่าที่กำหนดเอง (เช่น 2200) บน IP สาธารณะสามารถลดจำนวนการสแกนพอร์ตจากหลายพันต่อวันเหลือไม่กี่โหล สำหรับบทช่วยสอนดู ที่นี่.
ดังที่ได้กล่าวไปแล้ว แม้ว่าสิ่งนี้จะลดความน่ารำคาญของการสแกนพอร์ตลงได้ ไม่ ให้ความปลอดภัยอย่างแท้จริง "ความปลอดภัยโดยความสับสน" เป็นตำนานและไม่มีอะไรมาก
บอทอาจคาดเดารหัสผ่านได้ถูกต้อง แต่พวกเขาเดาถูก ไม่เคย จะเดาคีย์ส่วนตัวถูก ตราบใดที่คุณใช้อัลกอริทึมที่ทันสมัย และไม่ทำให้คีย์ของคุณรั่วโดยไม่ตั้งใจ สำหรับบทช่วยสอนดู ที่นี่.
โปรดทราบว่านี่หมายความว่าคุณจะไม่สามารถเข้าสู่ระบบจากเครื่องสุ่มใดๆ ได้อีกต่อไป เว้นแต่คุณจะพกกุญแจติดตัวไปด้วย (ซึ่งคุณต้องรักษาความปลอดภัยด้วยวิธีอื่น)
ถ้าพวกเขาล้มเหลว 5 ครั้ง แบนพวกเขาจากการพยายามอีกครั้งหนึ่งวันหรือบางอย่าง นั่นจะแสดงให้พวกเขาเห็น มีประสิทธิภาพมากในการพยายามใช้กำลังดุร้าย สำหรับบทช่วยสอนดู ที่นี่.
ข้อเสียคือคุณอาจล็อกตัวเองไม่ได้หากวันหนึ่งคุณมีอาการนิ้วสั่น (เมาหรืออะไร ฉันไม่รู้)
แหล่งที่มาเช่น ละเมิดIPDB รักษารายการใหญ่ของ IP ที่เป็นอันตรายที่รู้จักซึ่งเข้าถึงได้ผ่าน API คุณจะต้องใช้รหัส API เพื่อใช้งาน แต่คุณสามารถลงทะเบียนบัญชีฟรีได้ง่ายพอ ดึงรายการและใช้สิ่งที่ต้องการ iptables เพื่อแบน IP ที่รู้จักเหล่านั้นเป็นกลุ่ม ตั้งค่า cron job ให้เป็นอัตโนมัติเป็นระยะเพื่อให้ได้ผลดีที่สุด นี่ สคริปต์ง่ายๆ ที่ฉันเขียน (และฉันใช้เป็นการส่วนตัว) เพื่อทำสิ่งนั้น อย่าลังเลที่จะใช้เป็นข้อมูลอ้างอิง แต่ อย่าใช้มันในการผลิต.
จากประสบการณ์ส่วนตัวของฉัน วิธีนี้ได้ผลพอๆ กัน (ถ้าไม่มากกว่านั้น) เช่นเดียวกับวิธีที่ #3
โดยส่วนตัวแล้ว ฉันใช้ทั้ง 4 วิธีที่ระบุไว้ข้างต้น และ VPS ของฉันอาจได้รับการพยายามเข้าสู่ระบบที่เป็นอันตรายอย่างน้อยหนึ่งหรือสองครั้งในบันทึกความปลอดภัยของฉันในเดือนที่ไม่ดี นี่คือประวัติการสกัดกั้นของ iptables ผ่านวิธีที่ #4:
$ abip-hist
โซ่ abip-ban (1 อ้างอิง)
pkts bytes target prot เลือกใช้ปลายทางต้นทาง
362 14480 วางทั้งหมด -- * * 45.143.200.6 0.0.0.0/0
307 12280 วางทั้งหมด -- * * 185.156.73.104 0.0.0.0/0
288 12672 วางทั้งหมด -- * * 212.133.164.75 0.0.0.0/0
277 19911 วางทั้งหมด -- * * 146.88.240.4 0.0.0.0/0
250 11000 DROP ทั้งหมด -- * * 212.133.164.14 0.0.0.0/0
230 9200 DROP ทั้งหมด -- * * 45.146.164.213 0.0.0.0/0
215 8600 DROP ทั้งหมด -- * * 185.156.73.67 0.0.0.0/0
214 8560 DROP ทั้งหมด -- * * 5.188.206.18 0.0.0.0/0
202 8080 วางทั้งหมด -- * * 193.27.228.63 0.0.0.0/0
201 8040 วางทั้งหมด -- * * 193.27.228.64 0.0.0.0/0
199 7960 วางทั้งหมด -- * * 193.27.228.59 0.0.0.0/0
197 7880 วางทั้งหมด -- * * 193.27.228.65 0.0.0.0/0
197 7880 วางทั้งหมด -- * * 193.27.228.61 0.0.0.0/0
196 7840 วางทั้งหมด -- * * 45.135.232.119 0.0.0.0/0
196 7840 วางทั้งหมด -- * * 193.27.228.60 0.0.0.0/0
196 7840 วางทั้งหมด -- * * 193.27.228.58 0.0.0.0/0
189 7560 วางทั้งหมด -- * * 45.146.165.149 0.0.0.0/0
184 7360 DROP ทั้งหมด -- * * 45.155.205.247 0.0.0.0/0
184 7360 วางทั้งหมด -- * * 195.54.160.228 0.0.0.0/0
182 7280 วางทั้งหมด -- * * 45.143.203.12 0.0.0.0/0
181 7240 วางทั้งหมด -- * * 45.141.84.57 0.0.0.0/0
180 7200 DROP ทั้งหมด -- * * 45.135.232.85 0.0.0.0/0
176 7040 DROP ทั้งหมด -- * * 45.146.165.148 0.0.0.0/0
...
สิ่งนี้ดำเนินต่อไปสำหรับ 1,700 บรรทัด ...
เวลาทำงาน $
06:36:49 น. 16 วัน, 15:24 น
ดังที่คำตอบอื่นๆ กล่าวไว้ คุณไม่จำเป็นต้องกังวลเกี่ยวกับเรื่องนี้มากนัก แต่ถ้าคุณต้องการเพิ่มความปลอดภัยอีกชั้นหนึ่ง คุณสามารถลองใช้การเคาะพอร์ตได้
แนวคิดคือการปิดพอร์ต ssh ไว้ และเปิดเป็น ips เท่านั้น ซึ่งดำเนินการตามลำดับการทำงานเฉพาะก่อนหน้านี้ เช่น:
ซิงค์พอร์ต 1,000
ซิงค์พอร์ต 2000
ซิงค์พอร์ต 3000
# พอร์ต ssh เปิดอยู่
จุ๊ ...
สามารถดูรายละเอียดเพิ่มเติมได้ที่นี่: https://www.rapid7.com/blog/post/2017/10/04/how-to-secure-ssh-server-using-port-knocking-on-ubuntu-linux/
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
