Máy chủ của tôi liên tục bị tấn công [đóng]

Tôi còn khá mới với thế giới quản trị hệ thống. Gần đây tôi đã làm việc trên một ứng dụng và khi tôi kiểm tra nhật ký máy chủ ứng dụng của mình, tôi liên tục nhận được nhiều địa chỉ IP khác nhau cố gắng ssh vào máy chủ của mình bằng vũ lực. Đây là một ví dụ về nhật ký máy chủ của tôi:

Feb 14 04:07:20 foodwiz3 sshd[1264]: error: Could not load host key: /etc/ssh/ssh_host_ed25519_key
Feb 14 04:07:21 foodwiz3 sshd[1264]: reverse mapping checking getaddrinfo for coenamor.columbiansabbatical.com [23.249.167.223] failed - POSSIBLE BREAK-IN ATTEMPT!
Feb 14 04:07:21 foodwiz3 sshd[1264]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=23.249.167.223  user=root
Feb 14 04:07:23 foodwiz3 sshd[1264]: Failed password for root from 23.249.167.223 port 32997 ssh2
Feb 14 04:07:23 foodwiz3 sshd[1264]: Received disconnect from 23.249.167.223: 11: Bye Bye [preauth]
Feb 14 04:13:04 foodwiz3 sshd[1289]: error: Could not load host key: /etc/ssh/ssh_host_ed25519_key
Feb 14 04:13:05 foodwiz3 sshd[1289]: reverse mapping checking getaddrinfo for coenamor.columbiansabbatical.com [23.249.167.223] failed - POSSIBLE BREAK-IN ATTEMPT!
Feb 14 04:13:05 foodwiz3 sshd[1289]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=23.249.167.223  user=root
Feb 14 04:13:07 foodwiz3 sshd[1289]: Failed password for root from 23.249.167.223 port 41562 ssh2

Đây có phải là một cái gì đó khá bình thường, hoặc tôi nên lo lắng / làm điều gì đó về nó?

Chào mừng bạn đến với thế giới tuyệt vời của Internet ... Bạn có:

• đặt máy chủ của bạn đằng sau một tường lửa phần cứng?
• kích hoạt tường lửa phần mềm ? (chỉ trong trường hợp tường lửa CT bị trục trặc)
• máy chủ của bạn cứng ?
• cài đặt rkhunter trước khi đưa nó trực tuyến?
• kích hoạt cập nhật bảo mật tự động hàng ngày ?
• đã thay đổi cổng mặc định của ssh?
• ...

Nhưng câu trả lời thực sự là: Có, điều này là bình thường : BotNet Maffia luôn có thể sử dụng thêm một vài máy chủ được bảo vệ kém ...

Nó là khá bình thường để có đăng nhập thử đủ để tạo một nhật ký ngập lụt.

Thay đổi các cổng SSH là một loại giải pháp 'bảo mật bằng cách tối nghĩa', nhưng nó giúp chống lại lũ lụt. Tôi nhấn mạnh nó không thanh lịch lắm; có các cổng thực tế cho các dịch vụ vì một lý do.

Vì nó phải được bật theo mặc định, nhưng đảm bảo bạn không thể SSH vào máy chủ của mình dưới quyền root. Đó là tên người dùng khá nhất quán giữa các máy chủ và do đó, mục tiêu chính cho các nỗ lực đăng nhập bằng mật khẩu. Thực thi cài đặt với dòng sau trong sshd_config:

PermitRootLogin no

Cũng nhìn vào fail2banđó theo dõi nhật ký sshd cho người phạm tội lặp lại. Chẳng hạn, 5 lần đăng nhập thất bại trong 3 phút từ một IP nhất định sẽ khiến IP đó bị chặn trong 10 phút. Tôi đã tăng thời gian cấm đó lên 24 giờ để tiếp tục giảm spam đăng nhập - thành công. :)

Tôi sẽ đề nghị bạn làm một vài điều:

1. Thay đổi cổng ssh đang lắng nghe (thành thứ gì đó vượt quá 1024) và đảm bảo bạn không sử dụng phiên bản 1 của giao thức:

/ etc / ssh / sshd_config

# What ports, IPs and protocols we listen for
Port 50022
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2

2. Ngay lập tức fail2ban- nó giám sát các tệp nhật ký và tạm thời hoặc liên tục cấm các địa chỉ dễ bị lỗi bằng cách cập nhật các quy tắc tường lửa hiện có ( iptables).

3. Hãy chắc chắn rằng bạn liệt kê trắng các địa điểm đáng tin cậy của bạn.

Vâng, hãy lo lắng . Bạn có thể không bao giờ bị nám, nhưng bạn nên tuân theo thực tiễn tốt nhất về CNTT. Cẩn tắc vô ưu.

Tôi là quản trị viên mạng tại bệnh viện. Luôn luôn là một ý tưởng tồi để kết nối một hộp trực tiếp với internet. Những gì bạn đang thấy là tất cả hàng ngàn máy quét tự động quét tìm lỗ hổng trên internet. Tôi thấy những thứ này và tất cả mọi thứ (quét cổng, kiểm tra lỗ hổng đã biết khác nhau) cho tất cả các loại phần mềm (ssh, telnet, ftp, v.v.) hiển thị trên hộp ids của chúng tôi
Máy của bạn phải nằm sau một giải pháp tường lửa / NAT và bạn chỉ nên chuyển tiếp các cổng cần thiết vào internet (80, 443, v.v.). Nó tương đối dễ làm.
Có thứ gì đó bạn có thể sử dụng cho Manageemnt (SSH telnet) là một ý tưởng tồi khi đối mặt với internet vì nếu - vì bất kỳ lý do gì - có lỗi trong phần mềm SSH / telnet trên máy chủ đó, bot tự động sẽ phát hiện ra nó trong tích tắc và bạn sẽ bị lừa. Lỗi trong phần mềm xảy ra mọi lúc và có thể mất một lúc để một bản vá được phát hành hoặc để bạn nhớ vá nó.

Nếu bạn cần quản lý từ xa, hãy xem xét việc thiết lập một cái gì đó như giải pháp VPN hoặc nếu bạn sử dụng Windows, hãy thiết lập cổng dịch vụ đầu cuối cho máy tính để bàn từ xa. Tôi biết bạn có thể sử dụng một hộp Linux hoặc Windows riêng biệt có 2 NIC để thiết lập định tuyến và truy cập từ xa cho VPN và NAT nếu bạn chỉ là một cửa hàng nhỏ. Mặt khác, các nhà cung cấp như Cisco có các giải pháp tường lửa / NAT phần cứng (Cisco ASA).

Tóm lại, đặt máy của bạn phía sau NAT. Chỉ cổng chuyển tiếp các cổng cần thiết để chạy mục đích của dịch vụ. Không chuyển tiếp các dịch vụ được sử dụng để quản lý internet, thay vào đó hãy xem xét VPN để quản lý từ xa.

PS Thay đổi cổng SSH có thể giúp với khối lượng nhật ký nhưng thực tế nó không ngăn được quyền truy cập vào SSH. Bất kỳ một trong số hàng ngàn công cụ tìm lỗ hổng tự động có thể và sẽ thực hiện quét cổng để xem cổng nào đang lắng nghe dịch vụ gì. Bạn có thể tự làm điều đó với một công cụ gọi là nmap .

Bạn có thể cấu hình tường lửa nội bộ của kernel bằng iptables . Vì vậy, chỉ có một vài máy có thể ssh đến máy chủ của bạn và để các gói IP khác giảm xuống. Xem man iptablesđể biết thêm thông tin.

Ví dụ: nếu 192.168.1.67 là máy chủ bạn ssh từ đó, thì trên loại máy chủ:

sudo iptables -A INPUT -p tcp --dport ssh -s 192.168.1.67 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport ssh -j DROP
sudo iptables-save

Bạn có thực sự cần máy chủ của bạn trên internet? Nếu bạn thực sự muốn có nó trên internet thì hãy chắc chắn rằng nó an toàn trước khi bạn đặt nó ở đó.

Thay đổi cổng chỉ là bảo mật thông qua tối nghĩa. Nếu kẻ tấn công của bạn tinh vi hơn là chỉ chạy các kịch bản thì nó sẽ không giúp ích gì.

Một vài điều đã được đề cập mà tôi cũng đề nghị:

1. Tôi đồng ý với Fail2Ban và cấu hình đúng sẽ giữ cho các tập lệnh và các tin tặc tinh vi nhất hoạt động.
2. Đặt PermitRootLogin thành không là bắt buộc.
3. Cấu hình tường lửa. Tôi thường chỉ đơn giản là chỉnh sửa các quy tắc iptables, nhưng một số thứ như UFW hoặc firehol cũng sẽ hoạt động.

Tôi mới tham gia cộng đồng này vì có hai điều mà tôi không nghĩ đã được giải quyết thỏa đáng.

• Trong khối cấu hình tường lửa / vô hiệu hóa hoàn toàn mọi thứ không hoàn toàn cần thiết. Trước khi bạn mở bất kỳ cổng nào, hãy tự hỏi: "Tôi có thực sự cần dịch vụ này từ internet không?" Mỗi cổng / dịch vụ mà bạn mở trở thành một véc tơ tiềm năng khác mà ai đó có thể khai thác. Nếu có một lỗi trong dịch vụ đó cho phép họ có quyền truy cập root vào máy chủ, họ có thể có thể truy cập mọi thứ trên đó. Bảo mật của bạn chỉ mạnh bằng liên kết yếu nhất.
• Bây giờ cho điều cuối cùng và được cho là quan trọng nhất. Các tập lệnh mà bạn đã thấy khi cố gắng truy cập ssh có thể đoán được mật khẩu của bạn theo thời gian. Fail2Ban sẽ làm họ chậm lại rất nhiều, nhưng họ vẫn có thể đoán được. Nếu họ làm như vậy, bạn muốn xác thực 2 yếu tố trên các dịch vụ có thể truy cập. Vì vậy, tôi đề xuất một tài khoản miễn phí với Duo Security. https://www.duosecurity.com/docs/duounix

Một ví dụ khác cho câu trả lời @cff, nếu bạn có ý định cấm bất kỳ "lần thử" liên tiếp nào trên máy chủ SSH của mình:

sudo iptables -A INPUT -p tcp -m tcp --dport ssh -m state --state NEW -m recent --update --seconds 600 --hitcount 4 --name DEFAULT --mask 255.255.255.255 --rsource -j DROP
sudo iptables -A INPUT -p tcp -m tcp --dport ssh -m state --state NEW -m recent --set --name DEFAULT --mask 255.255.255.255 --rsource
sudo iptables-save

Cái này 'thẻ' cố gắng kết nối và nếu hơn 4 xảy ra trong 600 giây (10mn), thì nguồn gốc là 'bị cấm'. Sử dụng giải pháp này thay cho giải pháp @cff vì nó an toàn hơn (nếu bạn tự khóa, hãy đợi 10mn và thử lại).