Как предотвратить большое количество неудачных попыток входа с ПОДДЕЛЬНЫХ IP-адресов?

Question 1

Вы можете попробовать использовать программу Fail2Banhttps://www.fail2ban.org/wiki/index.php/Главная_страница

Это автоматически заблокирует исходный IP-адрес от неудачных попыток входа в систему.

Он работает довольно хорошо, и у вас также есть много опций для его настройки. Например, сколько попыток до бана или как долго он будет заблокирован.

Но вы должны подумать, действительно ли вы хотите иметь SSH-открытый для всего мира. Так что если ваша машина подключена к Интернету напрямую, я бы рекомендовал использовать брандмауэр, где все заблокировано по умолчанию. И открытый для ssh-только с этого IP, который вам нужен, должен быть открыт.

Answer

Вы можете попробовать использовать программу Fail2Banhttps://www.fail2ban.org/wiki/index.php/Главная_страница

Это автоматически заблокирует исходный IP-адрес от неудачных попыток входа в систему.

Он работает довольно хорошо, и у вас также есть много опций для его настройки. Например, сколько попыток до бана или как долго он будет заблокирован.

Но вы должны подумать, действительно ли вы хотите иметь SSH-открытый для всего мира. Так что если ваша машина подключена к Интернету напрямую, я бы рекомендовал использовать брандмауэр, где все заблокировано по умолчанию. И открытый для ssh-только с этого IP, который вам нужен, должен быть открыт.

Question 2

Есть несколько вещей, которые могут снизить риск безопасности, связанный с открытым для всего мира протоколом SSH.

Fail2ban (уже упоминалось) хорош. Он поддерживает блокировку навсегда или только на некоторое время в брандмауэре.
Запустите SSH на странном высокоуровневом порту, что-то выше 8000. Это ничего не остановит, но трафик значительно сократится, поскольку большинство скрипт-кидди будут проверять порт 22.
Убедитесь, что PermitRootLogin в sshd_config не запущен со значением Yes. Вам не нужны входы root через ssh. Вы можете войти по ssh как обычный пользователь, а затем su. Таким образом, для получения доступа администратора необходимы два пароля (если только это не Ubuntu или что-то подобное, где у обычного пользователя есть полномочия sudo).
Рассмотрите возможность двухфакторной аутентификации. Это можно сделать с помощью коммерческих продуктов, таких как Duo, или с помощью чего-то вроде Google Authenticator. Шаги для такой настройки будут предоставлены поставщиком.
Отправка электронного письма при успешном входе в систему. Это позволяет вам немедленно узнать, есть ли доступ, прежде чем хакер, возможно, получит возможность уничтожить любые установленные вами защитные меры. Для этого вам нужно добавить строку сеанса в /etc/pam.d/sshd, которая будет выглядеть примерно так:

требуется сеанс pam_exec.so /root/scripts/send-ssh-notice.sh

Пример скрипта, который может предоставить подробную информацию в переменных, доступен на github:Размещенный на Github sshlogin_alert.sh

(Да, я предоставил ссылку в своем ответе, а почему бы и нет? Код Github поддерживается, поддерживает форки и имеет хорошую обратную связь. Я не буду пересматривать свой опубликованный ответ в ближайшие месяцы или годы. Кроме того, следует отдать должное тому, кто его заслуживает, и этот пользователь Github проделал хорошую работу.)

Answer

Есть несколько вещей, которые могут снизить риск безопасности, связанный с открытым для всего мира протоколом SSH.

Fail2ban (уже упоминалось) хорош. Он поддерживает блокировку навсегда или только на некоторое время в брандмауэре.
Запустите SSH на странном высокоуровневом порту, что-то выше 8000. Это ничего не остановит, но трафик значительно сократится, поскольку большинство скрипт-кидди будут проверять порт 22.
Убедитесь, что PermitRootLogin в sshd_config не запущен со значением Yes. Вам не нужны входы root через ssh. Вы можете войти по ssh как обычный пользователь, а затем su. Таким образом, для получения доступа администратора необходимы два пароля (если только это не Ubuntu или что-то подобное, где у обычного пользователя есть полномочия sudo).
Рассмотрите возможность двухфакторной аутентификации. Это можно сделать с помощью коммерческих продуктов, таких как Duo, или с помощью чего-то вроде Google Authenticator. Шаги для такой настройки будут предоставлены поставщиком.
Отправка электронного письма при успешном входе в систему. Это позволяет вам немедленно узнать, есть ли доступ, прежде чем хакер, возможно, получит возможность уничтожить любые установленные вами защитные меры. Для этого вам нужно добавить строку сеанса в /etc/pam.d/sshd, которая будет выглядеть примерно так:

требуется сеанс pam_exec.so /root/scripts/send-ssh-notice.sh

Пример скрипта, который может предоставить подробную информацию в переменных, доступен на github:Размещенный на Github sshlogin_alert.sh

(Да, я предоставил ссылку в своем ответе, а почему бы и нет? Код Github поддерживается, поддерживает форки и имеет хорошую обратную связь. Я не буду пересматривать свой опубликованный ответ в ближайшие месяцы или годы. Кроме того, следует отдать должное тому, кто его заслуживает, и этот пользователь Github проделал хорошую работу.)

Question 3

ГРУСТНО... так ТАК ГРУСТНО?

может мне просто придется «остановить мой sshd-сервер»?

:(

Может быть, есть какой-то «ПРОСТОЙ» способ без установки дополнительного ПО?

Это пока не решает проблему... но я думаю, что это правильный путь?

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

Вот как выглядит «ssh_config»...

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

Есть ли какие-то возможные изменения в «iptable»?

Answer

ГРУСТНО... так ТАК ГРУСТНО?

может мне просто придется «остановить мой sshd-сервер»?

:(

Может быть, есть какой-то «ПРОСТОЙ» способ без установки дополнительного ПО?

Это пока не решает проблему... но я думаю, что это правильный путь?

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

Вот как выглядит «ssh_config»...

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

Есть ли какие-то возможные изменения в «iptable»?

Как предотвратить большое количество неудачных попыток входа с ПОДДЕЛЬНЫХ IP-адресов?

решение1

решение2

решение3

Связанный контент