Dotaz: Omezení autorizace

[Dan]

Zdravím, dnes jsem se kouknul do logu /var/log/auth.log a nestačil jsem se divit:

May 27 10:25:05 www sshd[596]: input_userauth_request: invalid user test [preauth]
May 27 10:25:05 www sshd[596]: pam_unix(sshd:auth): check pass; user unknown
May 27 10:25:05 www sshd[596]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=223.4.145.38
May 27 10:25:05 www sshd[594]: Failed password for invalid user userftp from 112.125.124.12 port 43499 ssh2
May 27 10:25:05 www sshd[594]: Received disconnect from 112.125.124.12: 11: Bye Bye [preauth]
May 27 10:25:07 www sshd[596]: Failed password for invalid user test from 223.4.145.38 port 50781 ssh2
May 27 10:25:07 www sshd[596]: Received disconnect from 223.4.145.38: 11: Bye Bye [preauth]
May 27 10:25:08 www sshd[598]: reverse mapping checking getaddrinfo for ip112.hichina.com [112.125.124.12] failed - POSSIBLE BREAK-IN ATTEMPT!
May 27 10:25:08 www sshd[598]: Invalid user userftp from 112.125.124.12
May 27 10:25:08 www sshd[598]: input_userauth_request: invalid user userftp [preauth]
May 27 10:25:08 www sshd[598]: pam_unix(sshd:auth): check pass; user unknown
May 27 10:25:08 www sshd[598]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=112.125.124.12
May 27 10:25:10 www sshd[598]: Failed password for invalid user userftp from 112.125.124.12 port 43651 ssh2
May 27 10:25:10 www sshd[600]: reverse mapping checking getaddrinfo for ip223.hichina.com [223.4.145.38] failed - POSSIBLE BREAK-IN ATTEMPT!
May 27 10:25:10 www sshd[600]: Invalid user test from 223.4.145.38
May 27 10:25:10 www sshd[600]: input_userauth_request: invalid user test [preauth]
May 27 10:25:10 www sshd[600]: pam_unix(sshd:auth): check pass; user unknown
May 27 10:25:10 www sshd[600]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=223.4.145.38

Nevíte jak se takových pokusů zbavit? Díky. (Používám ubutnu 12.04)

Odpovědi

[Luboš Doležel (Doli)]

Jak chcete někomu bránit v tom, aby se vám připojoval na server? Jsou tu sice věci jako Fail2Ban, co po chvíli IP adresu zabanují, ale nakonec se člověk chytí do pasti sám.

[Dan]

No to právě nevím, proto se na to ptám. Takže dle vás tohle mám prostě ignorovat?

[ja]

ale nakonec se člověk chytí do pasti sám

Preco zavadzas? Ja to pouzivam roky rokuce na vsetkych serveroch a do teraz som sa "nechytil do vlastnej pasce". Naco asi podla teba ma clovek tu velku vyrazku na krku?

[Šangala]

Používám vlastní řešení, ale jak s ním, tak s Fail2Ban se můžete chytit do pasti i ze super vyrážkou. Můžete jen nechat nějakou ne-banovanou cestu, a ta je tímto nechráněná nebo se do pasti prostě chytit můžete, s tím je třeba počítat.
Pokud je přístup k serveru z „bezpečné/(neveřejné)“ sítě a není takto hlídaný a jste v té síti, tak to problém není, ale pokud přístup takový nemáte, můžete být chycen. Že se tak nestalo, neznamená, že se tak nemůže stát.

[Dát smazat]

To je celkem prozkoumaná situace.. jde o to jestli se tam vůbec má někdo přihlašovat, nebo jde jen o roota. Já jsem šel postupně:

Používat pro přihlašování certifikát - fajn, super řešení, ale další věc co můžu dovrtat a zesložitit si přihlášení na SSH.

Změnit výchozí port - to jsem udělal, po předělání na jiný port (vybral jsem si snadno zapamatovatelný mezi 1000-2000 a dal ho na všechny své servery shodně) počty pokusů klesly na nulu.

Dát si opravdu silné heslo - to dělám.

Protože sám jsem jediný kdo se na SSH připojuje, považuji silné heslo za dostatečnou ochranu a přesun z výchozího portu je spíš otázkou většího klidu. V případě, že bych opět zaznamenal víc pokusů o hádání hesla, šel bych do fail2ban nebo denyhosts a podobně.

[ja]

No - povedal by som, ze ssh na porte vacsom ako 1024 je dost riziko - nemyslis? Inac s ostatnym suhlasim.

[Dát smazat]

Našel jsem si teď jeden článek, a asi je to větší riziko.. nejspíš do budoucna přesunu port někam pod 1000, kde bych měl mít lepší poměr bezpečnost/náročnost provoditi

Díky

[pepe_]

Nic nového :

May 26 17:48:00 alix sshd[21582]: Failed password for root from 218.61.139.114 port 34163 ssh2
May 26 17:48:07 alix sshd[21584]: Failed password for root from 218.61.139.114 port 36468 ssh2
May 26 17:48:17 alix sshd[21586]: Failed password for root from 218.61.139.114 port 38541 ssh2
May 26 17:48:24 alix sshd[21588]: Failed password for root from 218.61.139.114 port 41381 ssh2
May 26 17:48:31 alix sshd[21590]: Failed password for root from 218.61.139.114 port 43653 ssh2
May 26 17:48:39 alix sshd[21592]: Failed password for root from 218.61.139.114 port 45789 ssh2
May 26 18:35:10 alix sshd[24958]: Failed password for root from 93.63.201.220 port 38847 ssh2
May 26 18:35:15 alix sshd[24960]: Failed password for root from 93.63.201.220 port 40160 ssh2
May 26 18:35:22 alix sshd[24962]: Failed password for root from 93.63.201.220 port 41312 ssh2
May 26 18:35:27 alix sshd[24964]: Failed password for root from 93.63.201.220 port 42833 ssh2
May 26 18:35:33 alix sshd[24966]: Failed password for root from 93.63.201.220 port 43938 ssh2
May 26 18:35:38 alix sshd[24968]: Failed password for root from 93.63.201.220 port 45322 ssh2
May 26 18:35:41 alix sshd[24970]: Failed password for invalid user arun from 93.63.201.220 port 46069 ssh2
May 26 18:35:44 alix sshd[24972]: Failed password for root from 93.63.201.220 port 46509 ssh2
May 26 18:49:18 alix sshd[25665]: Failed password for root from 93.63.201.220 port 43716 ssh2
May 26 18:49:21 alix sshd[25667]: Failed password for invalid user shit from 93.63.201.220 port 45414 ssh2
May 26 18:49:24 alix sshd[25669]: Failed password for invalid user zhaowei from 93.63.201.220 port 46098 ssh2
May 26 18:49:27 alix sshd[25671]: Failed password for invalid user zhaowei from 93.63.201.220 port 46704 ssh2
May 26 19:02:00 alix sshd[26681]: Failed password for invalid user bsnl from 93.63.201.220 port 60550 ssh2
May 26 19:02:04 alix sshd[26683]: Failed password for invalid user bsnl from 93.63.201.220 port 47953 ssh2
May 26 19:02:09 alix sshd[26685]: Failed password for invalid user bsnl from 93.63.201.220 port 48806 ssh2
May 26 19:16:42 alix sshd[27706]: Failed password for root from 93.63.201.220 port 55380 ssh2
May 26 19:16:45 alix sshd[27708]: Failed password for invalid user shit from 93.63.201.220 port 56105 ssh2
May 26 19:16:48 alix sshd[27710]: Failed password for invalid user gosc from 93.63.201.220 port 56868 ssh2
May 26 19:16:52 alix sshd[27712]: Failed password for invalid user gosc from 93.63.201.220 port 57522 ssh2
May 26 19:28:27 alix sshd[28395]: Failed password for invalid user shit from 93.63.201.220 port 54246 ssh2
May 26 19:28:31 alix sshd[28397]: Failed password for root from 93.63.201.220 port 55022 ssh2
May 26 19:28:35 alix sshd[28399]: Failed password for invalid user chishin from 93.63.201.220 port 55809 ssh2
May 26 19:28:39 alix sshd[28401]: Failed password for root from 93.63.201.220 port 56636 ssh2
May 26 19:28:42 alix sshd[28403]: Failed password for invalid user loach from 93.63.201.220 port 57428 ssh2
May 26 22:42:00 alix sshd[9008]: Failed password for root from 217.13.93.13 port 50960 ssh2
May 26 22:42:05 alix sshd[9010]: Failed password for root from 217.13.93.13 port 51984 ssh2
May 26 22:42:09 alix sshd[9012]: Failed password for root from 217.13.93.13 port 53058 ssh2
May 26 22:42:13 alix sshd[9014]: Failed password for root from 217.13.93.13 port 53969 ssh2
May 26 22:42:18 alix sshd[9016]: Failed password for root from 217.13.93.13 port 54762 ssh2
May 26 22:42:23 alix sshd[9018]: Failed password for root from 217.13.93.13 port 55803 ssh2
May 26 22:42:28 alix sshd[9020]: Failed password for root from 217.13.93.13 port 56802 ssh2
May 27 02:28:33 alix sshd[23416]: Failed password for root from 211.143.10.86 port 55491 ssh2
May 27 02:28:39 alix sshd[23418]: Failed password for root from 211.143.10.86 port 32940 ssh2
May 27 02:28:45 alix sshd[23420]: Failed password for root from 211.143.10.86 port 38750 ssh2
May 27 02:28:51 alix sshd[23422]: Failed password for root from 211.143.10.86 port 44467 ssh2
May 27 02:28:57 alix sshd[23424]: Failed password for root from 211.143.10.86 port 50326 ssh2
May 27 02:29:03 alix sshd[23426]: Failed password for root from 211.143.10.86 port 56124 ssh2

[scott]

Ahoj, projdi si tyto články: Správa linuxového serveru: Praktické rady pro zabezpečení SSH Správa linuxového serveru: Praktické rady pro zabezpečení SSH II

[NN]

Vystavit SSH ven, je vrchol demence..

[radek hulak]

Venku mám jen RDP W2008R2, ale jak to udělat za předpokladu, že nebudu mít oknový RDP?

[NN]

Nerozumim.

[pavlix]

Ne větší než postování příspěvků jako je tento.

[David Indra]

Asi jsem mimo, ale co je na tom špatnýho, v okamžiku že máš silný heslo?

[Šangala]

Že si jen myslíš, že je silné

[Jendа]

0day na SSH? (už jich pár bylo, naposledy třeba klíče v Debianu)

Spíš bych se zeptal NN, jak spravuje servery. A předem upozorňuji, že existuje též komentář „Vystavit OpenVPN ven, je vrchol demence..“

[Joe]

Pouzivam tohle botnet da na nejaky ten den/hodinu pokoj, nez se zase vybanuje a ja kdyz to prezenu, tak si chvilku pockam :)

-A SSH -i br0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --rsource
-A SSH -i br0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 240 --hitcount 5 --rttl --name SSH --rsource -j DROP
-A SSH -i br0 -p tcp -m tcp --dport 22 -j ACCEPT

[scott]

To je v podstatě to stejný, co provádí Fail2ban.

[lertimir]

Zcela se tomu zabránit nedá, volba ochrany záleží, jak je důležitý systém, o který se jedná. Dá se použít Fail2ban. Dá se použít limitace lokace, tedy na zalogování do A mohu se zalogovat pouze z B nebo C. Jsou lidi, kteří mají na systému virtuální stroj s vystaveným ssh, do kterého se logují z vnějšku a teprve z něj se logují do hlavního systému. A co vím, tak některé DNS systémy, byly spravovány (možná stále jsou) tak, že hlavní systém neměl žádný otevřený port kromě DNS a správa byla z jiného systému, do kterého se dalo vlogovat ze sítě a z něj přes klasickou sériovou terminálovou linku do hlavního systému.

[Dan]

Moc díky za všechny rady. Tedy kromě té že jsme dement