[Comm] всё время ломятся в ssh

[Comm] всё время ломятся в ssh

[Vitaly Lipatov]

Подскажите, что сделать, чтобы некие автоматы-хакеты
не пытались непрерывно залогиниться по ssh? Может быть можно 
portsentry заставить отрабатывать эту ситуацию, занося 
в /etc/host.deny адрес взломщика?

-- 
Lav
Виталий Липатов
Санкт-Петербург
GNU! ALT Linux Team! WINE! LaTeX! LyX! http://freesource.info

Re: [Comm] всё время ломятся в ssh

[Владимир Гусев]

> Подскажите, что сделать, чтобы некие автоматы-хакеты
> не пытались непрерывно залогиниться по ssh? Может быть можно
> portsentry заставить отрабатывать эту ситуацию, занося
> в /etc/host.deny адрес взломщика?

Кстати, одно время у меня так и происходило - hosts.deny пополнялся все  
новыми IP, но как это получилось - не знаю :). Возможно я как-то  
активировал portcentry (или что-то другое) через webmin..



-- 
С уважением, Владимир Гусев

Re: [Comm] всё время ломятся в ssh [JT]

[Vitaly Lipatov]

On Saturday 24 September 2005 23:34, Владимир Гусев wrote:
> > Подскажите, что сделать, чтобы некие автоматы-хакеты
> > не пытались непрерывно залогиниться по ssh? Может быть можно
> > portsentry заставить отрабатывать эту ситуацию, занося
> > в /etc/host.deny адрес взломщика?
>
> Кстати, одно время у меня так и происходило - hosts.deny
> пополнялся все новыми IP, но как это получилось - не знаю :).
Хорошо вам :)
> Возможно я как-то активировал portcentry (или что-то другое)
У меня portsentry пополняет список, но не по обсуждаемой причине, 
увы.

-- 
Lav
Виталий Липатов
Санкт-Петербург
GNU! ALT Linux Team! WINE! LaTeX! LyX! http://freesource.info

Re: [Comm] всё время ломятся в ssh

[Vitaly Lipatov]

On Saturday 24 September 2005 23:24, Vitaly Lipatov wrote:
> Подскажите, что сделать, чтобы некие автоматы-хакеты
> не пытались непрерывно залогиниться по ssh? Может быть можно
> portsentry заставить отрабатывать эту ситуацию, занося
> в /etc/host.deny адрес взломщика?
Собственно именно это обсуждали в теме "Попытка взлома", но
а) это ведь ломится автомат, а не человек
б) руками отключать каждого - руки отвалятся
в) как бы автоматизировать отключение таких маших?

-- 
Lav
Виталий Липатов
Санкт-Петербург
GNU! ALT Linux Team! WINE! LaTeX! LyX! http://freesource.info

Re: [Comm] всё время ломятся в ssh

[Sergey Viuchny]

так сказать мысли вслух.

в pf из OpenBSD можно делать примерно так:

пишется правило в pf  что-то типа
pass in log on $ext_if inet proto tcp from any to $ext_if port 22 \
 flags S/SA keep state \
     (max-src-conn-rate 4/40, overload <BLACKLIST> flush)

значит это следующее: при превышении лимита, равного 4 попыткам установить 
соединение на порт 22 в течении 40 секунд, IP заносится в таблицу BLACKLIST
далее IP из таблицы блокируются другим правилом 

думаю, подобное можно сделать и средствами iptables,
с помощью модуля limit , например

PS
а вообще, ИМХО, смена порта и PasswordAuthentication no снимают вопрос 


В сообщении от Воскресенье 25 Сентябрь 2005 00:38 Vitaly Lipatov написал(a):
> On Saturday 24 September 2005 23:24, Vitaly Lipatov wrote:
> > Подскажите, что сделать, чтобы некие автоматы-хакеты
> > не пытались непрерывно залогиниться по ssh? Может быть можно
> > portsentry заставить отрабатывать эту ситуацию, занося
> > в /etc/host.deny адрес взломщика?
>
> Собственно именно это обсуждали в теме "Попытка взлома", но
> а) это ведь ломится автомат, а не человек
> б) руками отключать каждого - руки отвалятся
> в) как бы автоматизировать отключение таких маших?

Re: [Comm] всё время ломятся в ssh

[ABATAPA]

Воскресенье 25 Сентябрь 2005 11:21, Sergey Viuchny написал:
> пишется правило в pf  что-то типа
> pass in log on $ext_if inet proto tcp from any to $ext_if port 22 \
>  flags S/SA keep state \
>      (max-src-conn-rate 4/40, overload <BLACKLIST> flush)
>
> значит это следующее: при превышении лимита, равного 4 попыткам установить
> соединение на порт 22 в течении 40 секунд, IP заносится в таблицу BLACKLIST
> далее IP из таблицы блокируются другим правилом
>
> думаю, подобное можно сделать и средствами iptables,
> с помощью модуля limit , например

Можно сделать еще проще: разрешить такие пакеты не чаще, скажем, N в 5 минут с 
каждой сети C средствами IPTables. Если сам ошибся - можно и подождать.
-- 
ABATAPA

Re: [Comm] всё время ломятся в ssh

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 561 bytes --]

On Mon, Sep 26, 2005 at 12:28:57PM +0400, ABATAPA wrote:
> Можно сделать еще проще: разрешить такие пакеты не чаще, скажем, N в 5 минут с 
> каждой сети C средствами IPTables. Если сам ошибся - можно и подождать.
Разве это не limit делается?

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

<AMorozov> vsu: то есть, я правильно понял, что ваше отношение к tmpfs-lookup-traps в данный момент отрицательное?
<vsu> AMorozov: по крайней мере места, напоминающие баги, там есть
<AMorozov> vsu: :-) Удивительная политкорректность ;-)

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

[Comm] Re: всё время ломятся в ssh

[Michael Shigorin]

On Sun, Sep 25, 2005 at 11:21:30AM +0400, Sergey Viuchny wrote:
> думаю, подобное можно сделать и средствами iptables,
> с помощью модуля limit , например

Кстати, в ALM2.4 с ним всё плохо IIRC (нет его).

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

[Comm] Re: всё время ломятся в ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 385 bytes --]

Vitaly Lipatov пишет:
> Подскажите, что сделать, чтобы некие автоматы-хакеты
> не пытались непрерывно залогиниться по ssh? Может быть можно 
> portsentry заставить отрабатывать эту ситуацию, занося 
> в /etc/host.deny адрес взломщика?

Из новостей lrn:
http://www.linux.com/article.pl?sid=05/09/15/1655234

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 256 bytes --]

[Comm] Re: всё время ломятся в ssh

[Michael Shigorin]

On Sat, Sep 24, 2005 at 11:24:16PM +0400, Vitaly Lipatov wrote:
> Подскажите, что сделать, чтобы некие автоматы-хакеты
> не пытались непрерывно залогиниться по ssh?

Дропать :22 или отключить интернет.

> Может быть можно portsentry заставить отрабатывать эту
> ситуацию, занося в /etc/host.deny адрес взломщика?

Бессмысленно.  Посмотри на пакет knock, если это будет удобнее.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [Comm] всё время ломятся в ssh

[Alexey Morsov]

Vitaly Lipatov wrote:
> Подскажите, что сделать, чтобы некие автоматы-хакеты
> не пытались непрерывно залогиниться по ssh? Может быть можно 
А может закрыть iptables-ом input и в нем дать доступ для ssh 
только для себя (своей подсетки или вообще ip)
Ко мне таак на мылсервер ломились когда поставил (хотя вродже бы 
за циской сидит - а вот млин) - оторвал ему весь INPUT кроме 
конектов из локальной сетки - с тех пор тихо.


-- 
С уважением,
Алексей Морсов
системный администратор ЗАО "ИК "Риком-Траст"
ICQ: 196-766-290
Jabber: samurai@www.fondmarket.ru
www.ricom.ru
www.fondmarket.ru

Re[2]: [Comm] всё время ломятся в ssh

[Vital Shade]

Hello Alexey,

Tuesday, September 27, 2005, 9:43:44 AM, you wrote:

> Vitaly Lipatov wrote:
>> Подскажите, что сделать, чтобы некие автоматы-хакеты
>> не пытались непрерывно залогиниться по ssh? Может быть можно 
> А может закрыть iptables-ом input и в нем дать доступ для ssh 
> только для себя (своей подсетки или вообще ip)
> Ко мне таак на мылсервер ломились когда поставил (хотя вродже бы 
> за циской сидит - а вот млин) - оторвал ему весь INPUT кроме 
> конектов из локальной сетки - с тех пор тихо.



Ssh на другой порт + portsentry решает проблему на 99% процентов.
А руками сидеть и мониторить логи, содавать таблицы IP которые
необходимо закрыть - уж больно некрасиво. IMHO.

-- 
Best regards,
 Vital                            mailto:the_shade@tut.by

Re: [Comm] всё время ломятся в ssh

[Alexey Morsov]

Vital Shade wrote:
> Ssh на другой порт + portsentry решает проблему на 99% процентов.
> А руками сидеть и мониторить логи, содавать таблицы IP которые
> необходимо закрыть - уж больно некрасиво. IMHO.
Какие таблицы? Чего мониторить? Я ж говорю iptables -P INPUT DROP 
и потом сделать себе в нем дырку по принципу iptables -A INPUT -s 
  <my_ip> --dport ssh -j ACCEPT

-- 
С уважением,
Алексей Морсов
системный администратор ЗАО "ИК "Риком-Траст"
ICQ: 196-766-290
Jabber: samurai@www.fondmarket.ru
www.ricom.ru
www.fondmarket.ru

Re: [Comm]всё время ломятся в ssh

[unix9]

>Vital Shade wrote:
>> Ssh на другой порт + portsentry решает проблему на 99% процентов.
>> А руками сидеть и мониторить логи, содавать таблицы IP которые
>> необходимо закрыть - уж больно некрасиво. IMHO.
>Какие таблицы? Чего мониторить? Я ж говорю iptables -P INPUT DROP 
>и потом сделать себе в нем дырку по принципу iptables -A INPUT -s 
>  <my_ip> --dport ssh -j ACCEPT

А где portsentry брать? Сайт закрыт, в дистрибутиве мастера его тоже нету.

Re: [Comm]всё время ломятся в ssh

[Egorov Alexey]

unix9 wrote:
>> Vital Shade wrote:
>>     
>>> Ssh на другой порт + portsentry решает проблему на 99% процентов.
>>> А руками сидеть и мониторить логи, содавать таблицы IP которые
>>> необходимо закрыть - уж больно некрасиво. IMHO.
>>>       
>> Какие таблицы? Чего мониторить? Я ж говорю iptables -P INPUT DROP 
>> и потом сделать себе в нем дырку по принципу iptables -A INPUT -s 
>>  <my_ip> --dport ssh -j ACCEPT
>>     
>
> А где portsentry брать? Сайт закрыт, в дистрибутиве мастера его тоже нету.
>
>   
Вообще-то он есть в дистрибутиве:
portsentry-1.1-alt8.i586.rpm

Re[2]: [Comm]всё время ломятся в ssh

[Vital Shade]

[-- Attachment #1: Type: text/plain, Size: 747 bytes --]

Hello Egorov,

Tuesday, September 27, 2005, 3:24:20 PM, you wrote:

> unix9 wrote:
>>> Vital Shade wrote:
>>>     
>>>> Ssh на другой порт + portsentry решает проблему на 99% процентов.
>>>> А руками сидеть и мониторить логи, содавать таблицы IP которые
>>>> необходимо закрыть - уж больно некрасиво. IMHO.
>>>>       
>>> Какие таблицы? Чего мониторить? Я ж говорю iptables -P INPUT DROP 
>>> и потом сделать себе в нем дырку по принципу iptables -A INPUT -s 
>>>  <my_ip> --dport ssh -j ACCEPT

Много дырок надо, если не знаешь откуда завтра заходить по ssh будешь.
Если известны все хосты - тогда конечно. В некоторых случаях это
0.0.0.0/0 :)


-- 
Best regards,
 Vital                            mailto:the_shade@tut.by

[-- Attachment #2: Type: application/pgp-signature, Size: 456 bytes --]

[Comm] Re: всё время ломятся в ssh

[Michael Shigorin]

On Tue, Sep 27, 2005 at 05:22:19PM +0300, Vital Shade wrote:
> Много дырок надо, если не знаешь откуда завтра заходить по ssh будешь.
> Если известны все хосты - тогда конечно. В некоторых случаях это
> 0.0.0.0/0 :)

Я ж уже сказал -- knock. :)
http://alt.linux.kiev.ua/srpm/knock

PS: если sisyphus.ru говорит "error has occured" -- это не ко мне,
это к support@ про лимиты на соединения к базе.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

[Comm] Re: всё время ломятся в ssh

[Michael Shigorin]

On Tue, Sep 27, 2005 at 10:18:09AM +0300, Vital Shade wrote:
> А руками сидеть и мониторить логи, содавать таблицы IP которые
> необходимо закрыть - уж больно некрасиво. IMHO.

упоминали тут fail2ban

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua