Dotaz: Scan sshd

[Flip]

Ahoj, mam Debian unstable, vlastni verejnou IP adresu a podle logu se ruzne IP adesy pokousi o hruby utok na sshd. Podle meho nazoru by resenim bylo zablokovat pristup z one IP po nekolika neuspesnych prihlaseni. Dale bych rad pri takoveto udalosti provedl scan one IP a zaroven traceroute. Pridadne pokud mate nekdo jiny navrh jak situaci resit budu rad za podnet. Dekuji

Odpovědi

[rastos]

Potrebuješ sa pripájať na ten stroj cez ssh zvonka? Ak nie, tak zablokuj celý port 22. Ak áno, tak zablokuj 22 okrem IP adries, z ktorých sa potenciálne potrebuješ prihlasovať.

[Flip]

Jasne ze se potrebuji pripojovat. Nechci bolkovat vsechny a nektere povolit. Obracene, vsechny povolit a pri 5-tem neuspesnem prihlaseni zakazat. Plus na zaklade teto udalosti provest scan atd.....

[rastos]

Inými slovami: "zákaz vstup pre recidivistov. Tí čo to skúšajú po prvý krát máte dvere (po)otvorené."

[Flip]

Tak nejak.

[Michal Kubeček]

Dale bych rad pri takoveto udalosti provedl scan one IP a zaroven traceroute.

Skvělý nápad. :-) Za domácí úkol si rozmyslete, co se stane, když on (nebo stroj, který mu dělá NAT) bude mít nastaveno obdobné opatření…

[Flip]

Je preci jasne ze dojde k prechodnemu zviseni traficu, ale ja budu mit seznam IP krere budou blokovana, utoci a evidentne prestat nechteji. Unika mi neco? Mozna je probem jeste komplikovanejsi.

[Michal Kubeček]

On vás oscanuje, vy ho za trest oscanujete taky. Protože on to má nastavené stejně, za trest vás oscanuje, takže vy ho oscanujete… Mám pokračovat? :-)

[Flip]

Ne spatne, 1. On me neoskenuje protoze NATrouter s ma zapnuto NoIPscan. 2. Pristoupi rovnou na port 22 a pokousi se provest login pod ruznymi users. 3. Odpovedi je pridani do IPTABLES a scan na nej.

Tim to pro mne konci a utocnik je podle mne zamknutej. Nebo to je vadna predstava?

[Michal Kubeček]

Hm, a jestli si mohu dovolit vlezlou otázku: proč ho vlastně scanujete?

[Flip]

Je to zpusob jak se dozvedet neco o nekom kdo na me utoci. Moralni stranku veci si s dovolenim vyresim s vlastnim svedomim. Pokud nemate technicky prispevek, nechte prosim prostor pro ostatni prispevatele. Dekuji.

[Michal Kubeček]

Morální stránku si samozřejmě musíte ujasnit sám. Mne zajímá ta technická: k čemu a jak ty informace hodláte použít?

Prostoru pro ostatní je více než dost. Pochopte, že jedním z rozdílů mezi fórem tohoto typu a klasickým supportem je i to, že mám-li své pochybnosti o smysluplnosti vašeho požadavku, místo toho, abych bez řečí napsal, jak na to, mohu se pokusit vám naznačit, proč váš požadavek nepovažuji za rozumný.

[Flip]

Chci by informovan o utocnikovi. Poznani tohoto mechanizmu me dale poze k ovladani Linuxu.

Brete to prosim tak, ze chci poznat jak na to. Dik.

[Michal Kubeček]

Nezbývá mi než konstatovat, že na přímo položenou otázku jste neodpověděl.

[Flip]

Je to zpusob jak se dozvedet neco o nekom kdo na me utoci. Moralni stranku veci si s dovolenim vyresim s vlastnim svedomim. Pokud nemate technicky prispevek, nechte prosim prostor pro ostatni prispevatele. Dekuji.

[Flip]

Je to zpusob jak se dozvedet neco o nekom kdo na me utoci. Moralni stranku veci si s dovolenim vyresim s vlastnim svedomim. Pokud nemate technicky prispevek, nechte prosim prostor pro ostatni prispevatele. Dekuji.

[Pavel1]

Ani ja nemam technicky prispevek, ale jen zkusenost se stejnym problemem. Ze zacatku jsem chtel take vymyslet kdovico na identifikaci a zamezeni techto utoku, ale po case jsem usoudil, ze je to naprosto zbytecne patrat po nekom z "daleke ciziny", odkud utoky vetsinou pochazi. Ja skoncil u toho, ze je potreba mit jen spravne nastaveny firewall, dalsi patrani a identifikace utocnika pro mne byla jen ztrata casu a i zbytecny trafic. Tot jen muj nazor, ale at si kazdy udela, to co uzna za vhodne ....

[Flip]

Firewall mam nastaven na routru, a neresi to muj problem s prihlasovanim z cizi IP pod ruznymi user.

[Radek Trnka]

Ahoj, osobne si taky myslím, ze skenovat útocníka nemá velký význam. Jen naprostý blázen by provádel útok ze své vlastní masiny.

[finn]

Nestačilo by pověsit sshd na jiný port?

[Flip]

To je jenom otazka casu, kdy to stacit prestane.

[budulman]

co takto vyskusat portknocking

[karelw]

pam_abl

[jano]

davnejsie som niekde vygooglil taketo ipt pravidla ktore mi funguju, mozno pomozu aj tebe.

iptables -A INPUT -p tcp --dport ssh -i eth0 -m state --state NEW -m recent --set

#iptables -A INPUT -p tcp --dport ssh -i eth0 -m state --state NEW -m recent --update --seconds 30 --hitcount 4 -j LOG --log-level "debug" --log-ip-options --log-tcp-options --log-prefix 'iptables INPUT DROP limit'

iptables -A INPUT -p tcp --dport ssh -i eth0 -m state --state NEW -m recent --update --seconds 30 --hitcount 4 -j DROP

[Flip]

Tohle vypada nejnadejneji, jeste prostuduji PAM - správa autentizačních mechanismů. Dik.

[kaaja]

muzete skusit

http://www.aczoom.com/cms/blockhosts

ale nezarucuji

[Tomáš]

Možná trošku pomůže záznam v FAQ Jak zabránit pokusům o útok na SSH?

[Flip]

Je pozadovana instalace PYTHONu to nemam v umyslu. I presto dekuji.

[Flip]

Ahoj, po prehodnoceni celeho problemu jsem usoudil ze nejvhodnejsi je nasazeni PAM mechanizmu. Omlouvam se timto jednomu prispevateli ktery navrhl nezajimat se o utoky a venovat drahoceny cas necemu smysluplnemu. Timto mu vrele dekuji a vsem ostatnim za dalsi zajimave podnety.

[Pavel1]

Jo jo, tento nazor asi sdili velka vetsina (coz je vicemene videt od zacatku vlakna). I ja (a mozna i ostatni) jsem k tomuto dospel, i kdyz ze zacatku navzdory doporuceni se na to vyprdnout, jsem taky chtel vymyslet nejake "svoje" vychytavky. Nakonec jsem zustal u normalniho (spravne nastaveneho) fw a ostatnich veci soucasti systemu (PAM).

[anon123]

Popsal by jsi strucne ten PAM mechanizmus? Dik