SSH attacker

Försök spåra ip och kontakta personen.

Det där låter bekant, kan det ha att göra med:
http://www.linuxquestions.org/questions/showthread.php?s=&thr...

Vet inget om det själv, råkade bara läsa den tråden förut.

Det där ip-numret verkar komma från Korea, mitt bästa tips till dig är att blocka alla ip-nummer från Korea samt Kina.

km, mi, City, Region, Country
0  0  Seoul, KG, KR
20 12 Kwangju, CN, KR
20 12 Songnam, KG, KR
21 13 Uijongbu, KG, KR
22 13 Buchon, KG, KR
22 13 Bucheon City, SO, KR
23 14 Kunp'o, KG, KR
39 24 Tongduch'on, KG, KR

EDIT:
http://maps.google.com/maps?ll=37.5670,127.0000

Byt port?

Min rekommendation också. En enkel och ruskigt effektiv lösning på problemet.

i iptables är det inga problem ju:

iptables -A INPUT -i $EXTERNAL -s <ip> --dport 22 -j ACCEPT

(eller DROP om du nu hellre vill det)

Det sättet jag gillar mest är nog att använda AllowUsers i sshd_config.

t.ex.

AllowUsers *@192.168.0.*
AllowUsers user@*

Nu kan alla användare logga in från det lokala nätet men bara användaren 'user' får logga in från överallt. Risken är rätt liten att en person skulle bruteforca fram både användarnamn och lösenord.

Annars kan man lägga till följande regler i iptables

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

Då får de tre försök, sedan blockas ipadressen i 60s. Det gjorde åtminstone mina loggar mycket kortare.

Mvh/Nicklas

Jag installerade precis Swatch (iofs. på min FreeBSD-maskin men enligt artikeln bör det fungera även för Linux om man "översätter" pf-mojtet till iptables).

http://www.section6.net/wiki/index.php/Thwarting_ssh_hackers_...

Nu räcker det med att någon försöker logga in med fel användarnamn och det blir ajabaja direkt

http://swatch.sourceforge.net/

Annars va ju faktiskt detta snyggt också som Svanteson skrev:

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

Det ska jag lägga på minnet till nästa gång jag sitter på en Linux-kärra!

Min lösning är att bara kunna logga in med OTP eller nycklar. På så sätt slipper man osäkerheten med vanliga lösenord, men kan ändå logga in från alla ställen där man kanske inte vill pilla med sitt certifikat.

På mobilen har jag en OTP-klient såklart, men det fungerar väl lika bra att ha en liten lapp med ett par koder i plånboken och stryka av vart eftersom man använder dem.

Att ändra port så att sshd lyssnar på en annan port kräver en mycket enkel redigering av sshd_config och ändrande av "Port" till nån annan port. Sen är det bara att starta om sshd vilket man bör veta hur man gör.

För min del tog det bort ALLA intrångsförsöken via SSH.

men om man byter port så blir den massa joxande med argument när man kör ssh och scp.
jag hade hellre implementerat någon form av portknocking, tex att man först måste försöka ansluta på port 9090 innan man kan ssha in om man kommer från ett ovanligt ip.

Jag gjorde ett litet fulhack där jag först läser igenom loggarna och kollar vilka som försökt logga in och misslyckats. Därefter lägger jag till ip-adresserna i en blacklist och droppar all trafik därifrån.

Sedan har jag självklart en whitelist för mina common host's så om jag skriver fel så blir jag inte själv blockerad. Man får bara se till att man inte själv skriver fel vid första inloggningen från en okänd host.

Kom just på det att man i routern kan ställa in "triggande port". Tex för icq använde man det tror jag, att när nån ska skicka nånting så triggas det igång via en port, och sedan görs överföringen över en annan portrange som då blir aktiv.
Vet inte riktigt hur det funkar eller hur man då skulle trigga igång port 22 via denna andra port

Synd att det inte verkar enkelt att hitta några ip-ranges som täcker sverige/norden, och blocka allt annat, för då hade man ju kunnat blockera 99% av jordens befolkning eller nåt sånt (om man nu inte ska ssh'a till sig själv från australien tex).

Annars verkar det ju som man kan skapa en nyckel-fil och bara tillåta datorer som har den att connecta. Verkar va det allra säkraste, men man måste då "släpa med sig" filen dit man ska.
Ska kika på det tror jag, verkar funka med putty och allt. Måste va det allra bästa att ha en sån i mailen tex...ser ingen nackdel direkt iallafall.