ps によって多数の sshd/root プロセスがリストされますが、これはブルートフォース SSH ハッキングの試みですか?

Question

これは、誰かが SSH 経由でこのマシンのルートパスワードをブルートフォースで解析しようとしていることを意味しますか? それとも、それほど悪質ではないのでしょうか?

SSH 経由でブルートフォース攻撃を試みている可能性もありますが、たとえそれが「悪質」であったとしても、私は心配することはありません。インターネット上で公開されているサーバーのほとんどは、常に攻撃者によって調査されています。誰かが仮想的に「下見」をすることは心配する必要はありませんが、実際にシステムに侵入した場合は心配です。

なんと、私auth.logが管理しているパブリックサーバーで確認したところ、次のコマンドを実行したときに、過去 24 時間に 2000 回を超える「認証失敗」の試行がありました。

sudo grep "authentication failure;" /var/log/auth.log | wc -l

auth.log恐ろしいように聞こえますが、正直、誰が気にするでしょうか?上記のコマンドを少し変更したバージョンを使用して、ログエントリを視覚的に簡単に確認します。

sudo grep "authentication failure;" /var/log/auth.log

…次のようなものが表示されます:

Mar 15 07:02:09 hostname sshd[2213]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=115.239.228.35  user=root
Mar 15 07:02:19 hostname sshd[2236]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=115.239.228.35  user=root
Mar 15 07:02:31 hostname sshd[2355]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=115.239.228.35  user=root

すべてのアクセス試行がアカウントに対して行われていることに注意してくださいroot。私がセットアップしたどのシステムでも、rootすぐに無効化されます。したがって、これらの試行は私のケースでは無駄です。したがって、システムをチェックして、アカウント経由でシステムへauth.logの大量のアクセス試行が見られる場合は、システムのアカウントが完全に無効になっていることを確認して、その懸念をリストから削除してください。sshrootroot

アカウントの試行の他にroot、一見ランダムなユーザー名によるシステムへのアクセスが見られた場合も、それはシステムへのハッキングの別の試行です。また、それらのユーザー名がシステム上のユーザー名と一致しない限り、それらについてもまったく心配する必要はありません。

システム管理者の中には、この問題の最善の解決策は SSH のパスワード認証を完全に無効にして SSH キーペアのみを使用することだと言う人もいるでしょうが、私はそれはやりすぎだと思います。SSH キーペアが弱いと言っているわけではありません (実際はそうではありません)。しかし、システムのアクセス方法が最初から適切かつ安全に設定され、パスワードが簡単にハッキングされないほど強力であれば、システムは非常に安全です。これは、現代の Web サーバーの最大の脆弱性が、SSH などのものではなく、サーバー自体で実際に実行されているフロントフェイスの Web アプリケーションであるためです。

結局のところ、私はこうしたランダムな「ウォーダイヤリング」の試みを心配するのではなく、サーバー自体でユーザーrootアカウントが無効になっていることを事前に確認するという合理的な行動を取るべきです。2015 年になってもアカウントを有効にしたままパブリックサーバーを運用しているとroot、長期的には頭痛の種になるだけです。

Answer 1