Dotaz: odříznutí záškodníka

[Pavel]

Ahoj, na ssh se mi snaží připojit nějaký robot, který neustále zkouší uživatelský jména. Má ale smůlu, protože mám klíče. Ale štve mě.. jak ho mám odříznout, aby se mě na ssh vůbec nedostal? Díky

Received disconnect from 222.33.62.178: 11: Bye Bye [preauth]

---

---

Odpovědi

[camel1cz]

fail2ban

[mhepp]

Ahoj
Do suboru /etc/hosts.deny pridaj riadok:

sshd: 222.33.62.178

[Pavel]

super! diky. Omlouvam se za zacatecnicky dotaz:)

[Andrej]

Tohle ovšem funguje pouze v distrech, která používají tcp-wrappers.

[MMMMMMMMM]

iptables -t filter -A INPUT -s 222.33.62.178 -p tcp --dport 22 -j DROP

[Tomas]

zvysit port SSH? robot testuje jen 22, pokud ho das nekam vyse a nkedo to bud zkouset dal je to uz cileny utok

[Kit]

Předělávat zavedenou službu kvůli jednomu hloupému záškodníkovi? Vždyť ani nevíš, kolik dalších služeb bys tomu adminovi rozboural.

[NN]

SSH z venku je proste demence..

[Kit]

Jak jinak se chceš zvenku dostat než přes SSH?

[2012]

udelat vpn a povolit ssh jen pres vpn?

[Kit]

VPN je bezpečnější než SSH?

[Šangala]

No, pokud do VPN zahrneme PPTP, tak (zatím) je prokazatelně bezpečnější SSH .

[NN]

Ze jsem nedrzel hubu ;). Nema ted v defaultu PPTP fallback na SSTP?

[Šangala]

Nevím v jakém defaultu, možná v nějakém jo, ale PPTP lze spustit na black/white box krabičkách na jedno kliknutí a taková VPN je prokazatelně méně bezpečná než SSH. Jinak nevidím rozdíl v bezpečnosti mezi vpn nebo ssh tunelem obecně.

[pocitujlasku]

Uz vidim, ako si na smartfone instalujes VPN. Nie vzdy nosim so sebou aj notas a tak mam ssh klienta v mobile. V pripade zavaznych problemov sa viem kedykolvek a odkialkolvek pripojit a skontrolovat stav. Je to vec na nezaplatenie

[Dát smazat]

No já na mobilu VPN měl, hlavně pro přístup na síťové složky. Ale jinak taky nejsem pro skrývání SSH do VPN.

[hermelin]

No to je opravdu nazor "mistra" !. Ano mame na linuxu moznost pristupu ssh ale je demence toho z venku vyuzivat. Tohle muze napsat jenom hlupak !!!

Ano otevrene SSH je ucite riziko jako jakakoliv jina sluzba pristupna z internetu. Proto je dulezite umet sluzby spravne nakonfigurovat, spravovat a udrzovat.

mezi nejdulezitejsi patri:

- povolit ssh pouze uzivatelum ktere jej potrebuji

- pouzivat pro prihlasovani dostatecne silne sifrovane klice (nikoliv hesla)

- v iptables napr. pouzivat recent pripadne GEOIP (z ciny se asi opravdu nebudete hlasit pres ssh) pripadne pouzit fail2ban

- aktualizovat pokud je objeven bezpecnostni problem

- pripadne pouzivat hosts.allow/hosts.allow

- pripadne pouzit jiny port nez 22

- kontrolovat logy na ssh pristupy

[NN]

SSH z venku, to je jak RDP z venku, casem to proste zacne nekdo lamat, taky proc ne.. Btw. s tema klicema to taky tak slavne nebylo viz https://factorable.net/paper.html. Port 2222, geoip, fail2ban etc. proste zbytecnost. To je VPN fakt problem? Ma zaheslovany silny klic a konec. Jeste jsem se nesetkal, ze by nekdo lamal VPN, nehlede na to ze krz ni tece za se SSH takze dvoji prace a strata casu.. Takze nazor nemenim ;).

[DarkKnight]

takze vpn pres klic je bezpecnejsi nez ssh pres klic?

[hermelin]

"Port 2222, geoip, fail2ban" - proste zbytecnost ?! Nejakej opravnenej argument ?

Ano kvuli SSH ktere lze pouzivat s certifikatama stejne jako VPN si nejprve nainstaluju VPN a pak tak budu chodit na SSH. To je fakt hlavou ! . Diky tomu nam na serveru pribude dalsi SW ktery muze mit potencionalne bezpecnostni chybu.

A az budou boty napadat VPN koncetrator tak zrusime VPN a budeme chodit do serverovny na konzoli ! )))))))

Neni nad "odborne" reseni problemu - protoze blokace a predchazeni utokum je fakt zbytecnost !

[NN]

Vzdyt to nedava smysl. Vystrcis na protivnika holy zadek a budes na nej lepit kalhoty? Kravina. VPN je daleko bezpecnejsi pri pouziti silneho sifrovani, zarucuje vyceurovnovou ochranu a navic centralni pristup. Nebavime se o domacim serveru, ale o sprave desitek zarizeni najednou.

[Milan Uhrák]

fuckt odborník, twl ..

[Kit]

Pavel psal o jednom serveru, o správě desítek zařízení najednou se tedy nebavíme.

[NN]

Rozumim.

[SSH datel]

Vase presvedceni, ze VPN je bezpecnejsi nez SSH, jste ziskal na kurzech pleteni nebo z TV NOVA?

[Sten]

Aha, VPN s RSA klíčema (jako třeba OpenVPN) je bezpečnější než SSH s RSA klíčema. To jsou věci

[mikky]

Zrovna s tou čínou bych si na to dával pozor. Neni nad to, když si na dovolený v Hong Kongu a přijde ti smska, že se podělal webserver a ty máš filtr na geoip :) nemít tenkrát bokem server na hraní, měl bych problém :)

[alkoholik]

Jestli k tomu serveru pristupujes jenom ty, tak si nahod portknock.
Fail2ban je dobry, ale utoky se dnes distribuuji z botnetu a vyssi porty ti oscanuji.

[Milan Uhrák]

hm .. portknock vypada opravdu dobře ..

osobně používám fail2ban, poslední modifikace jsou síce čim dál komplikovanější a dokáží rozpoznat útoky nejen na ssh, ale princip je jednoduchý a spolehlivý. Jednou za čas se podívám na logy fail2ban, a přes ripe nebo arin kouknu, odkud vítr fouká, a většinou do blacklistu shorewalu hodím rovnou celý rozsah, hlavně s Asii se nepářu, ale obecně jiné kontinenty banuju v /8 rozsahu.

[lertimir]

Nerozumím trochu, proč je kolem blokování IP rozsahů takový cirkus. Když mám přístup na ssh jen přes klíče a ty jsou dostatečně silné, tak se tam útočník nedostane. Pár paketů navíc linka ani nepozná a nikdy jsem neměl na ssh útok takový, že by kolaboval systém. Obvykle počet pokusů o vstup je tak stovky za hodinu. Pokud se trochu pohybuji po světě, tak nikdy netuším, jaké IP rozsahy jsou v tom kterém hotelu, letišti nebo hospodě. Někam přijet a zjistit, že se k sobě nedostanu, protože jsem si chytře sám sobě blokl rozsah, by mě celkem naštvalo.

[Andrej]

Blokování IP rozsahů i jednotlivých IP adres je v podstatě nesmysl, protože to nefunguje korektně pro IPv6.

Těžko si lze dnes představit server, který nemá IPv6, pokud ho ovšem neprovozuje dědeček pro účely nostalgie, že ano... Jenže s IPv6 většina způsobů blokování IP adres známých z IPv4 selhává. Zaprvé, ne každá banovací utilita rozumně podporuje IPv6. Zadruhé, u IPv6 se nebavíme o blokování jedné adresy, protože každý útočník si může vygenerovat tolik adres, že se nevejdou do žádné blokovací tabulky ani na disk. Znamená to tedy, že by se v případě IPv6 měly blokovat celé rozsahy? To rovněž není rozumně proveditelné, protože se nedá úplně snadno a rychle zjistit, zda daný útočník má /32, /48, /64 nebo jiný rozsah, a protože v daném rozsahu může být potenciálně spousta dalších počítačů, které do botnetu nepatří a které nechceme odříznout všechny najednou.

Blokování adres má obecně ještě jeden zásadní problém: Proč by někdo věřil IP adresám? IP adresu může podvrhnout kdokoliv, kdo má přístup na některý (z hlediska daného serveru) důležitý router. (Nejbližší router u poskytovatele bude samozřejmě „nejrizikovější“ pro počítače k němu připojené.) IP adresa nepodléhá žádné autentifikaci. Tedy filtrování a blokování na základě IP adres sice může některým útočníkům trochu ztížit práci, ale obecně vzato je neúčinné.

Kryptografická autentifikace (SSH a spousta typů VPN) problém nedůvěryhodnosti IP adres řeší a je to zatím v podstatě jediné řešení tohoto problému, které existuje. (Může ovšem přestat existovat, pokud NSA příliš pokročí s experimenty na kvantových strojích.) Umím si představit případy, ve kterých by filtrování na základě IP adres mohlo částečně pomoct proti některým DDOS útokům, ale SSH mezi ně nepatří.

[Šangala]

Spousta serverů má jen IPv4, zvláště proto, že mají konektivitu jen přes IPv4.

Blokování adres není o důvěře, ale o eliminaci.

Pokud nebudu DROP-ovat neúspěšné požadavky na SSH dle IP, tak mi to sebere až půlku trubky (např. na ADSL 3500/256), protože botnety to považují za potencionálně dostupné. A stále nevím jak to bude, až v těchto případech, tam ta konektivita IPv6 bude…

[GeorgeWH]

aha, takze nebudeme blokovat ipv4 adresy/rozsahy, pretoze to nefunguje s ipv6... a kolko ze to ludi ma dnes ipv6...?

[Andrej]

IPv6 má mimo jiné každý, kdo má aspoň jednu veřejnou IPv4 adresu. Nevím, kolik lidí celkově má IPv6, a nezajímá mě to. Jde přinejmenším o všechny uživatele ADSL i kabelových připojení. (Kolik lidí IPv6 skutečně používá, to je samozřejmě zcela jiná otázka. Odpověď mě rovněž nikdy nezajímala.)

Adresy a rozsahy IPv4 nebudeme blokovat v případech, kdy to nemá smysl. V případě SSH to nemá smysl. Jinak je tomu v případě protokolů, kde i neplatné požadavky můžou znamenat velmi netriviální zatížení sítě i výpočetní kapacity, tedy například u webových serverů. Nicméně o těch tu nebyla řeč.

[alkoholik]

WTF?
IPv6 adresa != IPv6 konektivita.

[Andrej]

Na co přesně reaguješ? Nebo je to jen drobný problém s porozuměním psanému textu? Tvrdil jsem toto:

veřejná IPv4 adresa == IPv6 konektivita

Samozřejmě záleží na uživateli, jestli svou IPv6 konektivitu využije. Podobně někdo může mít třeba IPv4 konektivitu a nepoužívat ji. (Protože si náležitě nenastaví síťové rozhraní nebo nepřipojí žádné zařízení.)

O samotné IPv6 adrese (bez příslušné konektivity) jsem tady žádné obecné tvrzení nepsal.

[Andrej]

No, ať nežeru, když už slovíčkaříme, takhle by to mělo být:

IPv4 konektivita s veřejnou IPv4 adresou => IPv6 konektivita

[alkoholik]

No a to je prave ten bullshit.

[alkoholik]

Muze mit tunel != ma konektivitu.

[alkoholik]

A proc mu asi radim portknock?

[GAZDOWN]

Do budoucna by takovýmto problémům měl pomoci předcházet sshguard a jemu podobný sw.