Mi instancia EC2 informó que tuvo actividad sospechosa y recibí este correo electrónico:
ha estado implicado en una actividad que se asemeja a escanear hosts remotos en Internet en busca de vulnerabilidades de seguridad. La actividad de esta naturaleza está prohibida en la Política de uso aceptable de AWS (https://aws.amazon.com/aup/). Hemos incluido el informe original a continuación para su revisión.
Tome medidas para detener la actividad reportada y responda directamente a este correo electrónico con detalles de las acciones correctivas que ha tomado. Si no considera que la actividad descrita en estos informes sea abusiva, responda a este correo electrónico con detalles de su caso de uso.
Si no está al tanto de esta actividad, es posible que su entorno haya sido comprometido por un atacante externo o que una vulnerabilidad permita que su máquina se use de una manera que no estaba prevista.
No sé cómo comprobar lo que pasó. Cambié mi contraseña de root pero sigo recibiendo el mismo informe de actividad.
a continuación se muestra el registro:
Full logs:
(time in UTC)=2020-12-08T23:59:13 (attacker's IP)=myip (IP being scanned)=91^208^184^50 (TCP port being scanned)=523
(time in UTC)=2020-12-08T23:59:21 (attacker's IP)=myip (IP being scanned)=78^128^99^30 (TCP port being scanned)=2025
(time in UTC)=2020-12-08T23:59:28 (attacker's IP)=myip (IP being scanned)=140^238^172^100 (TCP port being scanned)=841
(time in UTC)=2020-12-08T23:59:42 (attacker's IP)=myip (IP being scanned)=219^91^85^19 (TCP port being scanned)=10699
(time in UTC)=2020-12-08T23:59:54 (attacker's IP)=myip (IP being scanned)=78^128^99^30 (TCP port being scanned)=1298
(time in UTC)=2020-12-09T23:57:40 (attacker's IP)=myip (IP being scanned)=219^91^85^19 (TCP port being scanned)=313
(time in UTC)=2020-12-09T23:57:43 (attacker's IP)=myip (IP being scanned)=219^91^62^21 (TCP port being scanned)=21735
(time in UTC)=2020-12-09T23:57:43 (attacker's IP)=myip (IP being scanned)=91^203^192^19 (TCP port being scanned)=984
(time in UTC)=2020-12-09T23:57:52 (attacker's IP)=myip (IP being scanned)=185^178^44^132 (TCP port being scanned)=18263
(time in UTC)=2020-12-09T23:57:53 (attacker's IP)=myip (IP being scanned)=140^238^172^100 (TCP port being scanned)=1389
otro registro:
Logs:
------------------------------------------------------------------------
Dec 9 01:01:55 kmh-wmh-003-nbg03 sshd[698]: Invalid user test from myip port 44682
Dec 9 01:01:55 kmh-wmh-003-nbg03 sshd[698]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Failed password for invalid user test from myip port 44682 ssh2
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Received disconnect from myip port 44682:11: Bye Bye [preauth]
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Disconnected from myip port 44682 [preauth]
Dec 9 01:18:16 kmh-wmh-003-nbg03 sshd[2480]: Invalid user pppuser from myip port 41660
Dec 9 01:18:16 kmh-wmh-003-nbg03 sshd[2480]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Failed password for invalid user pppuser from myip port 41660 ssh2
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Received disconnect from myip port 41660:11: Bye Bye [preauth]
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Disconnected from myip port 41660 [preauth]
Dec 9 01:21:25 kmh-wmh-003-nbg03 sshd[2792]: Invalid user master from myip port 38852
Dec 9 01:21:25 kmh-wmh-003-nbg03 sshd[2792]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Debido a que nunca me conecto a ssh usando mi instancia, solo quiero bloquear todo el tráfico SSH saliente de cualquier usuario y cualquier aplicación/proceso. ¿Como hacer eso?
Tal vez pueda bloquear todo el tráfico saliente al puerto 22 usando iptables, pero no todo ssh usando el puerto 22, ¿verdad? ¿Alguna otra forma efectiva?
Respuesta1
No es así de fácil. Si su servidor se vio comprometido, debe investigarlo.
Primero, bloquee todo el tráfico entrante, excepto su servicio (por ejemplo, los puertos 80 y 443). Bloquee el acceso a ssh desde cualquier fuente, excepto su.
En segundo lugar, sugiero comenzar a instalar y ejecutar software como clamav, chkrootkit y rkhunter. Este software puede escanear su máquina e identificar varios exploits conocidos.
En tercer lugar, eche un vistazo a todos los procesos en ejecución, registros y similares.
Cuarto, aplique algunas técnicas de endurecimiento a su máquina.
Respuesta2
Verifique sus "Grupos de seguridad" si tiene una regla de entrada para el puerto 22/servicio SSH, elimínela.
Nunca haces ssh, ¿qué servicios estás ejecutando?