Administrace komentářů

Zdravím, potřeboval bych radu / nasměrování:

Situace:

- firewall se zablokovanými porty, s výjímkou vpn, ssh a VoIP telefonní ústředny povolenými porty:
- port ssh je 3232 a je přesměrovaný na server ve vnitřní síti, kde ssh běží na standardním portu 22

SSH server ve vnitřní síti (AlmaLinux) eviduje řadu útoků.
Root přihlášení pomocí hesla mám samozřejmě vypnutý, veškerou standardní ochranu (firewalld, selinux, fail2ban... atd., mám zapnutou.

Port na serveru jsem přesměroval na 3232 a od té chvíle se útoky znásobily:

Od posledního úspěšného došlo k 2233 neúspěšným pokusům o přihlášení

...Část výpisu

sshd[43922]: Received disconnect from 185.174.137.156 port 43838:11: Bye Bye [preauth]
sshd[43922]: Disconnected from authenticating user root 185.174.137.156 port 43838 [preauth]
sshd[43924]: Failed password for root from 58.230.203.182 port 50020 ssh2
sshd[43924]: Received disconnect from 58.230.203.182 port 50020:11: Bye Bye [preauth]
sshd[43924]: Disconnected from authenticating user root 58.230.203.182 port 50020 [preauth]
sshd[43928]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=211.252.87.118  user=root
sshd[43928]: Failed password for root from 211.252.87.118 port 46264 ssh2
sshd[43928]: Received disconnect from 211.252.87.118 port 46264:11: Bye Bye [preauth]
sshd[43928]: Disconnected from authenticating user root 211.252.87.118 port 46264 [preauth]
sshd[43984]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=124.41.217.33  user=root
sshd[43984]: Failed password for root from 124.41.217.33 port 56390 ssh2
sshd[43984]: Received disconnect from 124.41.217.33 port 56390:11: Bye Bye [preauth]
sshd[43984]: Disconnected from authenticating user root 124.41.217.33 port 56390 [preauth]
sshd[43986]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=131.186.47.190  user=root
sshd[43986]: Failed password for root from 131.186.47.190 port 35196 ssh2
sshd[43986]: Received disconnect from 131.186.47.190 port 35196:11: Bye Bye [preauth]
sshd[43986]: Disconnected from authenticating user root 131.186.47.190 port 35196 [preauth]
sshd[43990]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=185.174.137.156  user=root
shd[43990]: Failed password for root from 185.174.137.156 port 43858 ssh2
sshd[43990]: Received disconnect from 185.174.137.156 port 43858:11: Bye Bye [preauth]
sshd[43990]: Disconnected from authenticating user root 185.174.137.156 port 43858 [preauth]
sshd[43995]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=167.71.236.26  user=root
sshd[43993]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=58.230.203.182  user=root
sshd[43995]: Failed password for root from 167.71.236.26 port 59268 ssh2
sshd[43993]: Failed password for root from 58.230.203.182 port 50054 ssh2
sshd[43995]: Received disconnect from 167.71.236.26 port 59268:11: Bye Bye [preauth]
sshd[43995]: Disconnected from authenticating user root 167.71.236.26 port 59268 [preauth]
sshd[43993]: Received disconnect from 58.230.203.182 port 50054:11: Bye Bye [preauth]
sshd[43993]: Disconnected from authenticating user root 58.230.203.182 port 50054 [preauth]
sshd[43999]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=211.252.87.118  user=root
sshd[43999]: Failed password for root from 211.252.87.118 port 59556 ssh2
sshd[43999]: Received disconnect from 211.252.87.118 port 59556:11: Bye Bye [preauth]
sshd[43999]: Disconnected from authenticating user root 211.252.87.118 port 59556 [preauth]
sshd[44012]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=58.230.203.182  user=root
sshd[44012]: Failed password for root from 58.230.203.182 port 50086 ssh2
sshd[44012]: Received disconnect from 58.230.203.182 port 50086:11: Bye Bye [preauth]
sshd[44012]: Disconnected from authenticating user root 58.230.203.182 port 50086 [preauth]
sshd[44016]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=124.41.217.33  user=root
sshd[44016]: Failed password for root from 124.41.217.33 port 40344 ssh2
sshd[44016]: Received disconnect from 124.41.217.33 port 40344:11: Bye Bye [preauth]
sshd[44016]: Disconnected from authenticating user root 124.41.217.33 port 40344 [preauth]

...

Mohu server ještě víc obrnit, ale potřeboval bych pochopit odkud to jde.

- zvenčí to být nemůže (uvedené porty jsou zavřené).
- všechny win počítače ve vnitřní síti jsou aktualizované proskenované a chráněné pomocí Bitdefenderu.
- všechno o čem vím je aktuální

- zapadá mne: hacknutá telefonní ústředna? Nebo nějaká tiskárna? Nebo něco jiného..?

Jakým způsobem bych se dopátral kde je problém?
Přemýšlel jsem, že bych udělal nějaký honeypot server a zkusil to analyzovat.
Ale možná je nějaký jednodušší systém. Nevíte, prosím někdo?
Děkuji moc nasměrování!