偽のスプーフィング IP からの大量のログイン失敗を防ぐには?

Question 1

Fail2Banプログラムを試すことができますhttps://www.fail2ban.org/wiki/index.php/Main_Page

これにより、失敗したログイン試行からソース IP が自動的にブロックされます。

非常にうまく機能しており、設定するためのオプションも多数あります。たとえば、禁止されるまでの試行回数や禁止期間などです。

しかし、本当に全世界に SSH を開放したいのかどうかを検討する必要があります。マシンがインターネットに直接接続されている場合、デフォルトですべてがブロックされるファイアウォールを使用することをお勧めします。そして、開放する必要がある IP からの SSH のみを開放します。

Answer

Fail2Banプログラムを試すことができますhttps://www.fail2ban.org/wiki/index.php/Main_Page

これにより、失敗したログイン試行からソース IP が自動的にブロックされます。

非常にうまく機能しており、設定するためのオプションも多数あります。たとえば、禁止されるまでの試行回数や禁止期間などです。

しかし、本当に全世界に SSH を開放したいのかどうかを検討する必要があります。マシンがインターネットに直接接続されている場合、デフォルトですべてがブロックされるファイアウォールを使用することをお勧めします。そして、開放する必要がある IP からの SSH のみを開放します。

Question 2

SSH を世界に公開することで生じるセキュリティリスクを排除できる方法がいくつかあります。

Fail2ban (すでに説明済み) は優れています。ファイアウォールで永続的に、または一定時間だけブロックすることをサポートします。
SSH を 8000 以上の奇妙な高レベルポートで実行します。これによって何も停止することはありませんが、ほとんどのスクリプトキディがポート 22 をプローブするため、トラフィックが大幅に減少します。
sshd_config の PermitRootLogin が Yes の値で実行されていないことを確認します。SSH 経由でルートログインを行う必要はありません。通常のユーザーとして ssh でログインしてから su を実行できます。この方法では、管理者アクセスを取得するのに 2 つのパスワードが必要です (通常のユーザーが sudo 権限を持っている Ubuntu または類似のシステムでない限り)。
二要素認証を検討してください。これは、Duo などの市販製品、または Google 認証システムなどを使用して実行できます。設定手順はベンダーから提供されます。
ログインが成功したときに電子メールが送信されるようにします。これにより、ハッカーが安全策を破る前に、アクセスがあったかどうかをすぐに知ることができます。これを行うには、次のようなセッションラインを /etc/pam.d/sshd に追加する必要があります。

セッションが必要です pam_exec.so /root/scripts/send-ssh-notice.sh

変数の詳細を提供できるスクリプトのサンプルがあり、github で入手できます。Github でホストされている sshlogin_alert.sh

(はい、私は回答にリンクを提供しました。なぜそうしないのでしょうか? Github コードはメンテナンスされており、フォークをサポートし、良好なフィードバックを得ています。私が投稿した回答は、今後数か月または数年にわたって私が再検討することはありません。さらに、正当な場合はクレジットを与えるべきであり、この Github ユーザーは良い仕事をしました。)

Answer

SSH を世界に公開することで生じるセキュリティリスクを排除できる方法がいくつかあります。

Fail2ban (すでに説明済み) は優れています。ファイアウォールで永続的に、または一定時間だけブロックすることをサポートします。
SSH を 8000 以上の奇妙な高レベルポートで実行します。これによって何も停止することはありませんが、ほとんどのスクリプトキディがポート 22 をプローブするため、トラフィックが大幅に減少します。
sshd_config の PermitRootLogin が Yes の値で実行されていないことを確認します。SSH 経由でルートログインを行う必要はありません。通常のユーザーとして ssh でログインしてから su を実行できます。この方法では、管理者アクセスを取得するのに 2 つのパスワードが必要です (通常のユーザーが sudo 権限を持っている Ubuntu または類似のシステムでない限り)。
二要素認証を検討してください。これは、Duo などの市販製品、または Google 認証システムなどを使用して実行できます。設定手順はベンダーから提供されます。
ログインが成功したときに電子メールが送信されるようにします。これにより、ハッカーが安全策を破る前に、アクセスがあったかどうかをすぐに知ることができます。これを行うには、次のようなセッションラインを /etc/pam.d/sshd に追加する必要があります。

セッションが必要です pam_exec.so /root/scripts/send-ssh-notice.sh

変数の詳細を提供できるスクリプトのサンプルがあり、github で入手できます。Github でホストされている sshlogin_alert.sh

(はい、私は回答にリンクを提供しました。なぜそうしないのでしょうか? Github コードはメンテナンスされており、フォークをサポートし、良好なフィードバックを得ています。私が投稿した回答は、今後数か月または数年にわたって私が再検討することはありません。さらに、正当な場合はクレジットを与えるべきであり、この Github ユーザーは良い仕事をしました。)

Question 3

悲しい…本当に悲しい？

「sshd サーバーを停止」する必要があるだけでしょうか?

:(

おそらく、追加のソフトウェアをインストールせずに「シンプルな」方法があるのでしょうか?

これはまだ問題を解決していませんが、正しい方向に向かっていると思いますか?

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

「ssh_config」は次のようになります...

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

「iptable」に何らかの変更を加えることも可能でしょうか?

Answer