Eine große Anzahl fehlgeschlagener Anmeldeversuche aufgrund von gefälschten IPs verhindern?

Question 1

Sie können versuchen, das Programm Fail2Ban zu verwendenhttps://www.fail2ban.org/wiki/index.php/Hauptseite

Dadurch wird die Quell-IP für fehlgeschlagene Anmeldeversuche automatisch blockiert.

Es funktioniert ganz gut und Sie haben auch viele Optionen zur Konfiguration. Zum Beispiel, wie viele Versuche es gibt, bevor es gesperrt wird, oder wie lange es gesperrt wird.

Sie sollten jedoch überlegen, ob Sie SSH wirklich für die ganze Welt offen haben möchten. Wenn Ihr Computer also direkt mit dem Internet verbunden ist, würde ich empfehlen, eine Firewall zu verwenden, die standardmäßig alles blockiert. Und nur für SSH von der IP-Adresse aus offen zu sein, muss offen sein.

Answer

Sie können versuchen, das Programm Fail2Ban zu verwendenhttps://www.fail2ban.org/wiki/index.php/Hauptseite

Dadurch wird die Quell-IP für fehlgeschlagene Anmeldeversuche automatisch blockiert.

Es funktioniert ganz gut und Sie haben auch viele Optionen zur Konfiguration. Zum Beispiel, wie viele Versuche es gibt, bevor es gesperrt wird, oder wie lange es gesperrt wird.

Sie sollten jedoch überlegen, ob Sie SSH wirklich für die ganze Welt offen haben möchten. Wenn Ihr Computer also direkt mit dem Internet verbunden ist, würde ich empfehlen, eine Firewall zu verwenden, die standardmäßig alles blockiert. Und nur für SSH von der IP-Adresse aus offen zu sein, muss offen sein.

Question 2

Es gibt einige Dinge, die das Sicherheitsrisiko ausschließen können, das mit der weltweiten Öffnung von SSH einhergeht.

Fail2ban (bereits erwähnt) ist gut. Es unterstützt das dauerhafte oder zeitweise Blockieren in der Firewall.
Führen Sie SSH auf einem ungewöhnlichen High-Level-Port aus, also etwas über 8000. Dadurch wird nichts gestoppt, aber der Datenverkehr wird erheblich reduziert, da die meisten Script-Kiddies Port 22 testen.
Stellen Sie sicher, dass PermitRootLogin in sshd_config nicht mit dem Wert „Yes“ ausgeführt wird. Root-Anmeldungen müssen nicht über SSH erfolgen. Sie können sich als normaler Benutzer per SSH anmelden und dann „su“ verwenden. Auf diese Weise sind zwei Passwörter erforderlich, um Administratorzugriff zu erhalten (es sei denn, es handelt sich um Ubuntu oder Ähnliches, wo ein normaler Benutzer über Sudo-Berechtigungen verfügt).
Erwägen Sie eine Zwei-Faktor-Authentifizierung. Dies kann mit kommerziellen Produkten wie Duo oder mit etwas wie Google Authenticator erfolgen. Die Schritte für die Einrichtung erhalten Sie vom Anbieter.
Lassen Sie sich bei einer erfolgreichen Anmeldung eine E-Mail senden. So erfahren Sie sofort, ob ein Zugriff erfolgt ist, bevor ein Hacker möglicherweise die Chance hatte, Ihre Sicherheitsvorkehrungen zu zerstören. Dazu müssen Sie eine Sitzungszeile zu /etc/pam.d/sshd hinzufügen, die etwa so aussieht:

Sitzung erforderlich pam_exec.so /root/scripts/send-ssh-notice.sh

Es gibt ein Beispiel für ein Skript, das die Details in Variablen bereitstellen kann. Es ist auf GitHub verfügbar:Auf Github gehostetes sshlogin_alert.sh

(Ja, ich habe in meiner Antwort einen Link angegeben, und warum nicht? Der Github-Code wird gepflegt, unterstützt Forks und hat gutes Feedback. Meine gepostete Antwort werde ich in den nächsten Monaten oder Jahren nicht erneut aufrufen. Außerdem sollte Anerkennung gegeben werden, wo sie angebracht ist, und dieser Github-Benutzer hat gute Arbeit geleistet.)

Answer

Es gibt einige Dinge, die das Sicherheitsrisiko ausschließen können, das mit der weltweiten Öffnung von SSH einhergeht.

Fail2ban (bereits erwähnt) ist gut. Es unterstützt das dauerhafte oder zeitweise Blockieren in der Firewall.
Führen Sie SSH auf einem ungewöhnlichen High-Level-Port aus, also etwas über 8000. Dadurch wird nichts gestoppt, aber der Datenverkehr wird erheblich reduziert, da die meisten Script-Kiddies Port 22 testen.
Stellen Sie sicher, dass PermitRootLogin in sshd_config nicht mit dem Wert „Yes“ ausgeführt wird. Root-Anmeldungen müssen nicht über SSH erfolgen. Sie können sich als normaler Benutzer per SSH anmelden und dann „su“ verwenden. Auf diese Weise sind zwei Passwörter erforderlich, um Administratorzugriff zu erhalten (es sei denn, es handelt sich um Ubuntu oder Ähnliches, wo ein normaler Benutzer über Sudo-Berechtigungen verfügt).
Erwägen Sie eine Zwei-Faktor-Authentifizierung. Dies kann mit kommerziellen Produkten wie Duo oder mit etwas wie Google Authenticator erfolgen. Die Schritte für die Einrichtung erhalten Sie vom Anbieter.
Lassen Sie sich bei einer erfolgreichen Anmeldung eine E-Mail senden. So erfahren Sie sofort, ob ein Zugriff erfolgt ist, bevor ein Hacker möglicherweise die Chance hatte, Ihre Sicherheitsvorkehrungen zu zerstören. Dazu müssen Sie eine Sitzungszeile zu /etc/pam.d/sshd hinzufügen, die etwa so aussieht:

Sitzung erforderlich pam_exec.so /root/scripts/send-ssh-notice.sh

Es gibt ein Beispiel für ein Skript, das die Details in Variablen bereitstellen kann. Es ist auf GitHub verfügbar:Auf Github gehostetes sshlogin_alert.sh

(Ja, ich habe in meiner Antwort einen Link angegeben, und warum nicht? Der Github-Code wird gepflegt, unterstützt Forks und hat gutes Feedback. Meine gepostete Antwort werde ich in den nächsten Monaten oder Jahren nicht erneut aufrufen. Außerdem sollte Anerkennung gegeben werden, wo sie angebracht ist, und dieser Github-Benutzer hat gute Arbeit geleistet.)

Question 3

TRAURIG ... so SO TRAURIG?

muss ich vielleicht einfach „meinen SSHD-Server stoppen“?

:(

Vielleicht gibt es eine „EINFACHE“ Möglichkeit, ohne zusätzliche Software zu installieren?

Dies löst das Problem noch nicht, aber ich denke, es ist auf dem richtigen Weg?

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

So sieht die „ssh_config“ aus …

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

Sind auch einige Änderungen an „iptable“ möglich?

Answer

TRAURIG ... so SO TRAURIG?

muss ich vielleicht einfach „meinen SSHD-Server stoppen“?

:(

Vielleicht gibt es eine „EINFACHE“ Möglichkeit, ohne zusätzliche Software zu installieren?

Dies löst das Problem noch nicht, aber ich denke, es ist auf dem richtigen Weg?

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

So sieht die „ssh_config“ aus …

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

Sind auch einige Änderungen an „iptable“ möglich?

Eine große Anzahl fehlgeschlagener Anmeldeversuche aufgrund von gefälschten IPs verhindern?

Antwort1

Antwort2

Antwort3

verwandte Informationen