[Comm] ssh и лжеруты

[Comm] ssh и лжеруты

[Vaso VV]

Вот вчера вечером сидел и наблюдал на 12-ой консоли, как какие-то 
"аццкие хацкеры" с сербского и венгерского айпишников старательно 
пытаются вломится под рутом через ssh:

Unable to check blacklist for host key 
9f:36:60:a9:f4:46:b4:2c:4a:1b:1e:cc:06:92:79:d8
Unable to check blacklist for host key 
a8:66:49:11:8e:cc:ca:24:f6:05:ba:ef:45:39:25:9f
Failed password for ROOT USER root from 161.53.39.73 port 43235 ssh2
Received disconnect from 161.53.39.73: 11: Goodbye
и
Unable to check blacklist for host key 
9f:36:60:a9:f4:46:b4:2c:4a:1b:1e:cc:06:92:79:d8
Unable to check blacklist for host key 
a8:66:49:11:8e:cc:ca:24:f6:05:ba:ef:45:39:25:9f
Failed password for ROOT USER root from 81.182.200.164 port 3851 ssh2
Received disconnect from 81.182.200.164: 11: Goodbye
- и так много раз.

Я понимаю, что шансов у ребят немного, но вот в душе дискомфорт 
какой-то, да и логи страшно загаживаются:
# grep -ic sshd /var/log/syslog/messages
13954

А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник 
блокировался?


-- 
WBR........[ ]
TFTHAOT....[x]
AMF........[ ]

Re: [Comm] ssh и лжеруты

[Alexander Wolf]

30.04.2010 17:20, Vaso VV пишет:
> Вот вчера вечером сидел и наблюдал на 12-ой консоли, как какие-то
> "аццкие хацкеры" с сербского и венгерского айпишников старательно
> пытаются вломится под рутом через ssh:
[skip]
> А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник
> блокировался?

Установить и настроить пакет fail2ban

http://sisyphus.ru/ru/srpm/Sisyphus/fail2ban


-- 
With best regards, Alexander Wolf

Re: [Comm] ssh и лжеруты

[Alexei V. Mezin]

30.04.2010 14:20, Vaso VV пишет:

> А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник
> блокировался?
>

apt-cache search sshutout

Re: [Comm] ssh и лжеруты

[Motsyo Gennadi aka Drool]

Vaso VV пишет:
> Я понимаю, что шансов у ребят немного, но вот в душе дискомфорт 
> какой-то, да и логи страшно загаживаются:
> # grep -ic sshd /var/log/syslog/messages
> 13954
> 
> А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник 
> блокировался?

	У меня домашний роутер на протяжении свыше двух суток какие-то китайцы 
брутфорсили так, что винчестер практически не останавливался. Сделал 
просто и сердито - авторизацию по ключу и перевел доступ с 22-го порта 
на совершенно другой. Тишина и спокойствие.

Re: [Comm] ssh и лжеруты

[Vaso VV]

Всем спасибо! Но пасаран!

-- 
WBR........[ ]
TFTHAOT....[x]
AMF........[ ]

Re: [Comm] ssh и лжеруты

[Denis Nazarov]

В сообщении от Пятница 30 апреля 2010 16:20:20 автор Vaso VV написал:
> Вот вчера вечером сидел и наблюдал на 12-ой консоли, как какие-то
> "аццкие хацкеры" с сербского и венгерского айпишников старательно
> пытаются вломится под рутом через ssh:
> 
> Unable to check blacklist for host key
> 9f:36:60:a9:f4:46:b4:2c:4a:1b:1e:cc:06:92:79:d8
> Unable to check blacklist for host key
> a8:66:49:11:8e:cc:ca:24:f6:05:ba:ef:45:39:25:9f
> Failed password for ROOT USER root from 161.53.39.73 port 43235 ssh2
> Received disconnect from 161.53.39.73: 11: Goodbye
> и
> Unable to check blacklist for host key
> 9f:36:60:a9:f4:46:b4:2c:4a:1b:1e:cc:06:92:79:d8
> Unable to check blacklist for host key
> a8:66:49:11:8e:cc:ca:24:f6:05:ba:ef:45:39:25:9f
> Failed password for ROOT USER root from 81.182.200.164 port 3851 ssh2
> Received disconnect from 81.182.200.164: 11: Goodbye
> - и так много раз.
> 
> Я понимаю, что шансов у ребят немного, но вот в душе дискомфорт
> какой-то, да и логи страшно загаживаются:
> # grep -ic sshd /var/log/syslog/messages
> 13954
> 
> А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник
> блокировался?
> 
сразу после установки меняю порт на какой-нибудь пятизначный и все - тишина и 
спокойствие всегда

Re: [Comm] ssh и лжеруты

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 350 bytes --]

On Fri, Apr 30, 2010 at 07:29:03PM +0600, Denis Nazarov wrote:
> сразу после установки меняю порт на какой-нибудь пятизначный и все - тишина и 
> спокойствие всегда
+1

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(6):

> Вот и предлагается приступить к автоматизации.
Да никто не против, приступайте.
		-- vyt in docs@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 490 bytes --]

Re: [Comm] ssh и лжеруты

[Sergey]

On Friday 30 April 2010, Vaso VV wrote:

> Unable to check blacklist for host key 
> 9f:36:60:a9:f4:46:b4:2c:4a:1b:1e:cc:06:92:79:d8
 
Чтобы вот этого не было, надо сказать: apt-get install openssh-blacklist-utils

> А как бы сделать так, чтобы после 3-х неудачных авторизаций айпишник 
> блокировался?

Скорее всего, это червячок. Достаточно

-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --set --name ssh_rate_limit --rsource
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 60 --hitcount 4 --name ssh_rate_limit --rsource -j LOG
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 60 --hitcount 4 --name ssh_rate_limit --rsource -j DROP

За минуту он уйдёт и уже не вернётся. Разве что, сделав круг. А это
дооолго... Строчку с "-j LOG" можно не писать, в общем-то. 

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Comm] ssh и лжеруты

[Slava Dubrovskiy]

30.04.2010 16:30, Andrey Rahmatullin пишет:
> On Fri, Apr 30, 2010 at 07:29:03PM +0600, Denis Nazarov wrote:
>   
>> сразу после установки меняю порт на какой-нибудь пятизначный и все - тишина и 
>> спокойствие всегда
>>     
> +1
>   
Согласен. И для постфикса тоже.
И никаких спамеров. :-D

-- 
WBR,
Dubrovskiy Vyacheslav

Re: [Comm] ssh и лжеруты

[MisHel64]

Здравствуйте, Sergey.

Вы писали 30 апреля 2010 г., 17:46:23:

> Скорее всего, это червячок. Достаточно

> -A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN
> -m recent --set --name ssh_rate_limit --rsource
> -A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN
> -m recent --update --seconds 60 --hitcount 4 --name ssh_rate_limit --rsource -j LOG
> -A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN
> -m recent --update --seconds 60 --hitcount 4 --name ssh_rate_limit --rsource -j DROP

> За минуту он уйдёт и уже не вернётся. Разве что, сделав круг. А это
> дооолго... Строчку с "-j LOG" можно не писать, в общем-то. 

Этим же способом пользуюсь, различия только в деталях. И не только для
SSH.  Очень  способствует  очистке  логов  от всякого мусора, и спится
спокойней.


-- 
С уважением,
 MisHel64                          mailto:MisHel64@Bk.Ru

Re: [Comm] ssh и лжеруты

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 561 bytes --]

On Fri, Apr 30, 2010 at 04:57:03PM +0300, Slava Dubrovskiy wrote:
> >> сразу после установки меняю порт на какой-нибудь пятизначный и все - тишина и 
> >> спокойствие всегда
> > +1
> Согласен. И для постфикса тоже.
> И никаких спамеров. :-D
Ээ, и как такой постфикс можно использовать? Или это исключительно
смартхост, не являющийся MX?

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(6):

<raorn> thresh: гыг. на DisplaySize ъцй ложит не intel, а xrandr. а i810 ложит
        хцй на xrandr и поэтому делает вид что работает ;-)

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 490 bytes --]

Re: [Comm] ssh и лжеруты

[Slava Dubrovskiy]

01.05.2010 10:58, Andrey Rahmatullin пишет:
> On Fri, Apr 30, 2010 at 04:57:03PM +0300, Slava Dubrovskiy wrote:
>   
>>>> сразу после установки меняю порт на какой-нибудь пятизначный и все - тишина и 
>>>> спокойствие всегда
>>>>         
>>> +1
>>>       
>> Согласен. И для постфикса тоже.
>> И никаких спамеров. :-D
>>     
> Ээ, и как такой постфикс можно использовать? 
Никак. Это как пример лечения головной боли гильотиной. Вообшем шутка. :)

-- 
WBR,
Dubrovskiy Vyacheslav

Re: [Comm] ssh и лжеруты

[Vaso VV]

Спасибо всем за помощь!

-- 
WBR........[ ]
TFTHAOT....[x]
AMF........[ ]