Cum pot proteja SSH?

Verific /var/log/secure și am aceste jurnale:

9 iulie 13:02:56 localhost sshd[30624]: Administrator utilizator nevalid de la portul 223.196.172.1 37566
9 iulie 13:02:57 localhost sshd[30624]: conexiune închisă de administratorul utilizatorului nevalid 223.196.172.1 portul 37566 [preauth]
9 iulie 13:03:05 localhost sshd[30626]: administrator de utilizator nevalid din portul 223.196.174.150 61445
9 iulie 13:03:05 localhost sshd[30626]: Conexiune închisă de administratorul utilizatorului nevalid 223.196.174.150 portul 61445 [preauth]
9 iulie 13:03:16 localhost sshd[30628]: administrator de utilizator nevalid din portul 223.196.169.37 62329
9 iulie 13:03:24 localhost sshd[30628]: conexiune închisă de administratorul utilizatorului nevalid 223.196.169.37 portul 62329 [preauth]
9 iulie 13:03:29 localhost sshd[30630]: administrator de utilizator nevalid de la portul 223.196.169.37 64099
9 iulie 13:03:30 localhost sshd[30630]: conexiune închisă de administratorul utilizatorului nevalid 223.196.169.37 portul 64099 [preauth]
9 iulie 13:03:45 localhost sshd[30632]: administrator de utilizator nevalid de la portul 223.196.174.150 22816
9 iulie 13:03:46 localhost sshd[30632]: conexiune închisă de administratorul utilizatorului nevalid 223.196.174.150 portul 22816 [preauth]
9 iulie 13:06:17 localhost sshd[30637]: administrator de utilizator nevalid din portul 223.196.168.33 33176
9 iulie 13:06:17 localhost sshd[30637]: conexiune închisă de administratorul utilizatorului nevalid 223.196.168.33 portul 33176 [preauth]
9 iulie 13:07:09 localhost sshd[30639]: administrator de utilizator nevalid de la 223.196.173.152 portul 61780
9 iulie 13:07:25 localhost sshd[30641]: administrator de utilizator nevalid din portul 223.196.168.33 54200
9 iulie 13:07:26 localhost sshd[30641]: conexiune închisă de administratorul utilizatorului nevalid 223.196.168.33 portul 54200 [preauth]
...

Se pare că cineva încearcă să se conecteze prin SSH. Dezactivez autentificarea de către utilizatorul root și activez autentificarea cu cheie publică/privată, dar este acesta un atac DDoS? Și folosește RAM/CPU?

Ce ar trebuii să fac?

După cum a menționat @Simon Richter, acesta este doar zgomot de fundal pe internet și nu ar trebui să vă faceți griji. Câteva lucruri de care trebuie să te asiguri sunt următoarele:

• Nu permiteți autentificarea bazată pe parolă, ci doar autentificarea cu cheie publică
• Poti dezactivați cifrurile nesigure și prost proiectate, eliminați module mici Diffie-Hellman și alte îmbunătățiri criptografice
• Puteți instala fail2ban

Schimbarea portului va face ca problema să dispară, dar este securitate prin obscuritate și poate crea iluzia de siguranță în timp ce nu oferă niciuna.

Iată alte câteva recomandări SSH înconjurător, precum și contraargumente pentru argumentele „cele mai bune practici”.

Ești în India? Toate acele adrese IP enumerate sunt în bloc:

223.196.160.0 - 223.196.191.255   

care conform bazei de date WHOIS este alocat

descr: Andhra Pradesh State FiberNet Limited
adresa: 10-2-1, etaj III, complex FDC, AC Guards, Hyderabad, Andhra Pradesh-500028

O soluție pe termen scurt este blocarea întregului bloc 223.196.160.0/19 la firewall, dar asta înseamnă microgestionarea adreselor IP și devine o luptă dificilă.

În schimb, puteți refuza TOATE ssh-urile, cu excepția IP-urilor sursă despre care știți că sunt de încredere. Pur și simplu aveți grijă să nu vă închideți în propria gazdă. Dacă nu aveți o IP statică, puteți permite o blocare sau, eventual, puteți analiza rularea unui server VPN pe gazdă.

Sau, dacă nu trebuie să permiteți conexiuni SSH de pe internet, respingeți-le și reactivați-le numai când este necesar.

Iată un script simplu pe care l-am scris pentru a bloca toate încercările neautorizate de a vă conecta la serverul meu de dezvoltare.

#!/bin/bash

ban=$HOME/banned.txt
b_log=/var/log/banned.log

Buturuga () {
cat $ban | uniq >> $b_log
}

l_log () {
lastb | awk '{ print $3 }' | sed -r '/(Luni|Mar|Mier|Jo|Vine|Sam|Sun|boot|tty2)/d' | sortare | sed '/^$/d' | unic | tee $ban
}

cădere brusca () {
pentru x în $(cat $ban); do iptables -A INPUT -s $x -j DROP; Terminat
}

l_log
cădere brusca
Buturuga
rm -f $ban
echo > /var/log/btmp
iptables-salvare

Dacă setați scriptul să ruleze prin cron în fiecare minut, acesta va reduce dramatic zgomotul din jurnalele dvs. și va bloca IP-urile ofensatoare, oferindu-le doar 1 minut pentru a încerca forța brută înainte de a fi blocate.

Ar fi o idee bună să introduceți IP-ul dvs. și orice alte IP-uri cu care accesați serverul dvs. în firewall iptables -I INTRARE -s xxx.xx.xxx.xx -j ACCEPT

Va fi generat un jurnal cu toate IP-urile interzise.

1. Utilizați numai autentificare bazată pe cheie. Mulți roboți atacă doar sistemele bazate pe parole. Utilizarea autentificarea bazată pe parolă este oricum o idee proastă.
2. Utilizare https://www.sshguard.net/ : blochează IP-urile după câteva conectări eșuate.
3. Utilizați portul aleatoriu (nu 22), va opri unii roboți.
4. Asigurați-vă că sistemul dvs. nu permite autentificarea root
5. Dacă vă autentificați doar de acasă, luați în considerare deschiderea SSH numai pentru IP/ISP sau țara dvs.

1. Schimbați-vă sshd portul de ascultare

Oricât de simplu pare, schimbarea portului din valoarea implicită 22 la o valoare personalizată (de ex. 2200) pe un IP public ar putea reduce numărul de scanări de porturi de la mii pe zi la câteva zeci. Pentru un tutorial vezi Aici.

Acestea fiind spuse, deși acest lucru reduce supărarea de a fi scanat prin port, acesta NU oferi o securitate reală. „Securitatea prin obscuritate” este un mit și nimic mai mult.

2. Utilizați autentificarea cu cheia publică și dezactivați autentificarea prin parolă

Boții ar putea ghici corect o parolă, dar sunt nu o să ghicesc corect o cheie privată. Atâta timp cât folosiți algoritmi moderni și nu vă scurgeți cheia accidental. Pentru un tutorial vezi Aici.

Rețineți că acest lucru înseamnă că nu vă veți mai putea autentifica de la nicio mașină aleatorie, cu excepția cazului în care aveți cheia cu dvs. (pe care trebuie să o asigurați prin alt mod).

3. Utilizați fail2ban

Dacă eșuează de 5 ori, interziceți-le să încerce din nou pentru o zi sau ceva. Asta le va arăta. Foarte eficient împotriva încercărilor de forță brută. Pentru un tutorial vezi Aici.

Dezavantajul este că s-ar putea să te blochezi dacă într-o zi ai degetele tremurătoare (beat sau ceva de genul ăsta, nu știu).

4. Interziceți înainte o listă de IP-uri cunoscute pentru utilizare abuzivă

Surse ca Abuz de IPDB menține liste mari de IP-uri rău intenționate cunoscute, accesibile prin API. Veți avea nevoie de o cheie API pentru ao utiliza, dar puteți înregistra un cont gratuit destul de ușor. Trageți lista și folosiți ceva de genul iptables pentru a interzice acele IP-uri cunoscute în vrac. Configurați o lucrare cron pentru a o automatiza periodic pentru cel mai bun efect. Iată un script foarte simplu pe care l-am scris (și folosesc personal) să fac exact asta. Simțiți-vă liber să-l folosiți ca referință, dar NU-L FOLOSIȚI ÎN PRODUCȚIE.

Din experiența mea personală, această metodă este la fel de eficientă (dacă nu mai mult) ca metoda #3.

Personal, folosesc toate cele 4 metode enumerate mai sus, iar VPS-ul meu ar putea primi una sau două încercări de autentificare rău intenționate în jurnalul meu de securitate, într-o lună proastă. Iată istoricul interceptărilor iptables prin metoda #4:

$ abip-hist
Lanț abip-ban (1 referințe)
 pkts bytes target prot opt ​​in out source destination
  362 14480 DROP toate -- * * 45.143.200.6 0.0.0.0/0
  307 12280 DROP toate -- * * 185.156.73.104 0.0.0.0/0
  288 12672 DROP toate -- * * 212.133.164.75 0.0.0.0/0
  277 19911 DROP all -- * * 146.88.240.4 0.0.0.0/0
  250 11000 DROP toate -- * * 212.133.164.14 0.0.0.0/0
  230 9200 DROP toate -- * * 45.146.164.213 0.0.0.0/0
  215 8600 DROP toate -- * * 185.156.73.67 0.0.0.0/0
  214 8560 DROP toate -- * * 5.188.206.18 0.0.0.0/0
  202 8080 DROP toate -- * * 193.27.228.63 0.0.0.0/0
  201 8040 DROP toate -- * * 193.27.228.64 0.0.0.0/0
  199 7960 DROP toate -- * * 193.27.228.59 0.0.0.0/0
  197 7880 DROP toate -- * * 193.27.228.65 0.0.0.0/0
  197 7880 DROP toate -- * * 193.27.228.61 0.0.0.0/0
  196 7840 DROP toate -- * * 45.135.232.119 0.0.0.0/0
  196 7840 DROP toate -- * * 193.27.228.60 0.0.0.0/0
  196 7840 DROP toate -- * * 193.27.228.58 0.0.0.0/0
  189 7560 DROP toate -- * * 45.146.165.149 0.0.0.0/0
  184 7360 DROP toate -- * * 45.155.205.247 0.0.0.0/0
  184 7360 DROP toate -- * * 195.54.160.228 0.0.0.0/0
  182 7280 DROP toate -- * * 45.143.203.12 0.0.0.0/0
  181 7240 DROP toate -- * * 45.141.84.57 0.0.0.0/0
  180 7200 DROP toate -- * * 45.135.232.85 0.0.0.0/0
  176 7040 DROP toate -- * * 45.146.165.148 0.0.0.0/0
...
asta continuă pentru 1700 de linii...

$ timp de funcționare
06:36:49 până la 16 zile, 15:24

După cum au menționat și alte răspunsuri, nu trebuie să vă faceți griji prea mult în legătură cu asta, dar dacă doriți să adăugați un alt nivel de securitate, puteți încerca să utilizați port knocking.

Ideea este să păstrați portul ssh închis și să îl deschideți numai către ips, care efectuează o anumită secvență de operare înainte, ceva de genul:

portul syn 1000
port syn 2000
port syn 3000
# portul ssh este acum deschis
ssh...

poti obtine mai multe detalii aici: https://www.rapid7.com/blog/post/2017/10/04/how-to-secure-ssh-server-using-port-knocking-on-ubuntu-linux/