Ngăn chặn SSH quảng cáo số phiên bản của nó

Máy chủ tôi đang sử dụng là Ubuntu 10.10. Để đảm bảo an ninh, tôi muốn chỉnh sửa banner mà máy chủ gửi cho khách hàng.

Nếu tôi telnet đến máy chủ của tôi trên cổng 22, nó sẽ cho tôi biết phiên bản chính xác của SSH tôi đang chạy (SSH-2.0-OpenSSH_5.3p1 Debian-3ubfox4). Tình hình tương tự với MySQL và Cyrus.

Bất kỳ đề xuất? Ít nhất là cho SSH?

Cảm ơn

Hầu như trên toàn cầu, các biểu ngữ xác định là một phần của mã được biên dịch và không có tùy chọn cấu hình để thay đổi hoặc triệt tiêu chúng. Bạn sẽ phải biên dịch lại những phần mềm đó.

Mặc dù rất khó để ẩn số phiên bản của trình nền SSH, bạn có thể dễ dàng ẩn phiên bản linux (Debian-3ubfox4)

Thêm dòng sau vào /etc/ssh/sshd_config

DebianBanner no

Và khởi động lại daemon SSH của bạn: /etc/init.d/ssh restarthoặcservice ssh restart

Ẩn những người không bảo mật máy chủ của bạn. Có nhiều cách khác để lấy dấu vân tay hệ thống của bạn đang chạy. Đối với SSH nói riêng, thông báo phiên bản là một phần của giao thức và được yêu cầu.

http://www.snailbook.com/faq/version-opes.auto.html

Tôi khá chắc chắn rằng bạn thực sự không thể thay đổi thông báo phiên bản.

Các cách tốt nhất để bảo mật sshd là:

1. Thay đổi số cổng mặc định.
2. Cấm đăng nhập gốc.
3. Buộc giao thức 2 (giả sử rằng nó không được thực hiện theo mặc định).
4. Danh sách trắng các máy chủ được phép SSH.

Ba cái đầu tiên có thể được thực hiện bằng cách sửa đổi / etc / sshd_config

Thứ tư phụ thuộc vào phần mềm tường lửa bạn đang sử dụng.

Như đã nói ở trên, thay đổi số phiên bản là

1. Khó làm
2. An ninh thông qua sự tối tăm
3. Không linh hoạt

Những gì tôi đề nghị là thực hiện Port Knocking. Đây là một kỹ thuật khá đơn giản để ẩn bất cứ thứ gì đang chạy trên máy chủ của bạn.

Đây là một triển khai tốt: http://www.zeroflux.org/projects/knock

Đây là cách tôi triển khai nó trên các máy chủ của mình (các số khác) để chỉ mở SSH cho những người biết 'tiếng gõ bí mật':

[openSSH]
    sequence = 300,4000,32
    seq_timeout = 5
    command = /opencloseport.sh %IP% 2305
    tcpflags = syn

Điều này sẽ đưa ra một cửa sổ 5 giây trong đó 3 gói tin SYN cần được nhận theo đúng thứ tự. Chọn các cổng cách xa nhau và không tuần tự. Bằng cách đó, một portscanner không thể mở cổng một cách tình cờ. Các cổng này không cần phải được mở bởi iptables.

Kịch bản tôi gọi là cái này. Nó mở một cổng cụ thể trong 5 giây để IP gửi các gói tin.

#!/bin/bash
/sbin/iptables -I INPUT -s $1 -p tcp --dport $2  -j ACCEPT
sleep 5
/sbin/iptables -D INPUT -s $1 -p tcp --dport $2  -j ACCEPT

Việc gửi các gói tin SYN có thể là một nỗi đau thực sự vì vậy tôi sử dụng tập lệnh để kết nối với SSH của các máy chủ của mình:

#!/bin/bash
knock $1 $2
knock $1 $3
knock $1 $4
ssh $5@$1 -p $6

(Nó khá rõ ràng những gì đang xảy ra ở đây ...)

Sau khi kết nối được thiết lập, cổng có thể được đóng lại. Gợi ý: Sử dụng xác thực khóa. Nếu không, bạn cần phải rất nhanh để nhập mật khẩu của bạn.