/ var / log entradas suspeitas

8

Por diversão, eu /var/log/auth.logsegui (tail auth.log) e havia muitos dos seguintes:

 sshd[16225]: Received disconnect from 203.100.83.32: 11: Bye Bye [preauth]

O ip parece ser da China ...

Eu adicionei a regra iptables para bloquear o ip e agora se foi.

Agora vendo o seguinte:

 sshd[17225]: fatal: Read from socket failed: Connection reset by peer [preauth]

O que são entradas e o que posso fazer para proteger ou ver ameaças dinamicamente.
Eu tenho fail2baninstalado.

desde já, obrigado

networking ssh security user2625721
fonte
Você precisa da sshporta aberta no lado público? Em que regra foi adicionada iptables? A sshexposição ao público vai gerar muitos acessos de sniffers e crackbots de portas, o que pode ser a causa das entradas que você está vendo agora.
Douggro
O servidor está hospedado no Linode.com, eu ssh para a caixa para gerenciar, alterar e fazer tudo, por isso preciso do ssh por enquanto. Eu adicionei uma regra iptables para bloquear o endereço / 24 da China. Mas preciso ser mais seguro e não me preocupar tanto com hackers.
user2625721
1
Você pode usar uma configuração de limite muito baixo fail2banpara sshlogins com falha - 2 ou 3 falham antes do banimento - com um tempo de banimento curto (10 a 15 minutos) para desencorajar os crackbots, mas não muito tempo para deixá-lo bloqueado se você fizer um login tentativa.
Douggro

Respostas:

1

Você precisa acessar esse host de vários locais? Ou você pode usar uma caixa de salto com um IP estático? Se for esse o caso, você pode definir uma regra de iptables que permita apenas o acesso SSH a um (s) IP (s) específico (s). Isso lhe dará negação implícita a qualquer pessoa, exceto os IPs estáticos.

As outras recomendações seriam alterar o serviço para escutar em uma porta não padrão, desativar a autenticação raiz e configurar o fail2ban.

Enefbee
fonte
0

Tente alterar sua porta sshd para mais de 1000. Fail2ban também ajuda.

Por exemplo, eu tenho alguns servidores executando o sshd em 1919 ou 905 e mal consigo esses IPs chineses tentando fazer força bruta nos meus servidores.

Kriev
fonte