Мой экземпляр EC2 сообщил о подозрительной активности, и я получил следующее письмо:
был замешан в деятельности, которая напоминает сканирование удаленных хостов в Интернете на предмет уязвимостей безопасности. Деятельность такого рода запрещена в AWS Acceptable Use Policy (https://aws.amazon.com/aup/). Мы включили исходный отчет ниже для вашего ознакомления.
Пожалуйста, примите меры, чтобы остановить сообщенную активность, и ответьте непосредственно на это письмо с подробностями корректирующих действий, которые вы предприняли. Если вы не считаете, что описанная в этих отчетах активность является оскорбительной, пожалуйста, ответьте на это письмо с подробностями вашего варианта использования.
Если вы не знаете об этой активности, возможно, ваша среда подверглась атаке внешнего злоумышленника или уязвимость позволяет использовать ваш компьютер не по назначению.
Я не знаю, как проверить, что произошло. Я сменил пароль root, но отчет об активности все еще тот же.
Ниже представлен журнал:
Full logs:
(time in UTC)=2020-12-08T23:59:13 (attacker's IP)=myip (IP being scanned)=91^208^184^50 (TCP port being scanned)=523
(time in UTC)=2020-12-08T23:59:21 (attacker's IP)=myip (IP being scanned)=78^128^99^30 (TCP port being scanned)=2025
(time in UTC)=2020-12-08T23:59:28 (attacker's IP)=myip (IP being scanned)=140^238^172^100 (TCP port being scanned)=841
(time in UTC)=2020-12-08T23:59:42 (attacker's IP)=myip (IP being scanned)=219^91^85^19 (TCP port being scanned)=10699
(time in UTC)=2020-12-08T23:59:54 (attacker's IP)=myip (IP being scanned)=78^128^99^30 (TCP port being scanned)=1298
(time in UTC)=2020-12-09T23:57:40 (attacker's IP)=myip (IP being scanned)=219^91^85^19 (TCP port being scanned)=313
(time in UTC)=2020-12-09T23:57:43 (attacker's IP)=myip (IP being scanned)=219^91^62^21 (TCP port being scanned)=21735
(time in UTC)=2020-12-09T23:57:43 (attacker's IP)=myip (IP being scanned)=91^203^192^19 (TCP port being scanned)=984
(time in UTC)=2020-12-09T23:57:52 (attacker's IP)=myip (IP being scanned)=185^178^44^132 (TCP port being scanned)=18263
(time in UTC)=2020-12-09T23:57:53 (attacker's IP)=myip (IP being scanned)=140^238^172^100 (TCP port being scanned)=1389
другой журнал:
Logs:
------------------------------------------------------------------------
Dec 9 01:01:55 kmh-wmh-003-nbg03 sshd[698]: Invalid user test from myip port 44682
Dec 9 01:01:55 kmh-wmh-003-nbg03 sshd[698]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Failed password for invalid user test from myip port 44682 ssh2
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Received disconnect from myip port 44682:11: Bye Bye [preauth]
Dec 9 01:01:57 kmh-wmh-003-nbg03 sshd[698]: Disconnected from myip port 44682 [preauth]
Dec 9 01:18:16 kmh-wmh-003-nbg03 sshd[2480]: Invalid user pppuser from myip port 41660
Dec 9 01:18:16 kmh-wmh-003-nbg03 sshd[2480]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Failed password for invalid user pppuser from myip port 41660 ssh2
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Received disconnect from myip port 41660:11: Bye Bye [preauth]
Dec 9 01:18:17 kmh-wmh-003-nbg03 sshd[2480]: Disconnected from myip port 41660 [preauth]
Dec 9 01:21:25 kmh-wmh-003-nbg03 sshd[2792]: Invalid user master from myip port 38852
Dec 9 01:21:25 kmh-wmh-003-nbg03 sshd[2792]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=myip
Поскольку я никогда не подключаюсь к ssh с помощью своего экземпляра, я просто хочу заблокировать весь исходящий трафик SSH от любого пользователя и любого приложения/процесса. Как это сделать?
Может быть, я могу заблокировать весь исходящий трафик на порт 22 с помощью iptables, но не весь ssh, использующий порт 22, верно? Есть ли другой эффективный способ?
решение1
Это не так просто. Если ваш сервер был скомпрометирован, вам придется это расследовать.
Во-первых, заблокируйте весь входящий трафик на него, кроме вашего сервиса (например, порты 80 и 443) Заблокируйте доступ к ssh из любого источника, кроме вашего.
Во-вторых, я предлагаю начать установку и запуск таких программ, как clamav, chkrootkit и rkhunter. Эти программы могут сканировать вашу машину и определять несколько известных эксплойтов.
В-третьих, просмотрите все запущенные процессы, журналы и т.п.
В-четвертых, примените к своей машине некоторые методы закалки.
решение2
Проверьте «Группы безопасности», если у вас есть входящее правило для порта 22 / службы SSH, удалите его.
Если вы никогда не используете ssh, то какие службы вы запускаете?