มีคนพยายามแฮ็คเข้าสู่เซิร์ฟเวอร์ของฉันหรือไม่ ฉันควรทำอย่างไร

ไม่กี่สัปดาห์ที่ผ่านมาฉันโพสต์คำถามที่นี่เกี่ยวกับsshปัญหาบางอย่างที่ฉันมีกับกล่อง Ubuntu 12.04 กรอไปข้างหน้าถึงวันนี้และฉันพยายามอนุญาตให้คนอื่นเข้าถึงเครื่อง แต่พวกเขายังคงได้รับข้อผิดพลาดของรหัสผ่าน ฉันเช็คเอาต์var/logs/auth.logสำหรับข้อมูลเพิ่มเติมและพบสิ่งนี้:

May 11 19:45:33 myserver sshd[9264]: Did not receive identification string from 211.110.xxx.x
May 11 19:45:38 myserver sshd[9267]: Did not receive identification string from 211.110.xxx.x
May 11 19:45:44 myserver sshd[9270]: Did not receive identification string from 211.110.xxx.x
May 11 19:45:49 myserver sshd[9274]: Did not receive identification string from 211.110.xxx.x

ฉันมีเกือบ 10,000 บรรทัดที่ทุกคนพูดว่าเหมือนกันมากกว่าหรือน้อยกว่า (มีไฟล์ auth.log.gz 4 ไฟล์ซึ่งฉันคิดว่าเหมือนกันมากกว่านี้?) บางครั้งมีการสุ่มชื่อผู้ใช้ที่แนบมากับคำขอinput_userauth_request: invalid user bash [preauth]

ฉันไม่รู้เกี่ยวกับเซิร์ฟเวอร์มากนัก แต่ดูเหมือนว่ามีคนพยายามเข้าถึงของฉัน

ค้นหาวิธีปิดกั้นที่อยู่ IP ในอูบุนตูและลงเอยด้วยสิ่งนี้: iptables -A INPUT -s 211.110.xxx.x -j DROPแต่หลังจากรันคำสั่งนั้นและตรวจสอบบันทึกแล้วฉันยังคงได้รับคำขอจาก IP ตัวนี้ทุก 5 วินาที

ฉันจะหาข้อมูลเพิ่มเติมเกี่ยวกับสิ่งที่เกิดขึ้นและจัดการกับคำขอคงที่เหล่านี้ได้อย่างไร

จากสิ่งที่คุณอธิบายดูเหมือนว่าเป็นการโจมตีอัตโนมัติบนเซิร์ฟเวอร์ของคุณ การโจมตีส่วนใหญ่นั้นยกเว้นว่าผู้โจมตีรู้จักคุณเป็นการส่วนตัวและถือความเสียใจ ...

อย่างไรก็ตามคุณอาจต้องการค้นหา denyhosts ซึ่งคุณสามารถหาได้จาก repos ปกติ สามารถวิเคราะห์ความพยายามซ้ำ ๆ และจะบล็อกที่อยู่ IP ของพวกเขา คุณอาจยังได้รับบางอย่างในบันทึกของคุณ แต่อย่างน้อยก็จะช่วยลดปัญหาด้านความปลอดภัย

สำหรับการรับข้อมูลเพิ่มเติมฉันจะไม่รำคาญ พวกเขาจะใช้เซิร์ฟเวอร์ระยะไกลเพื่อทำงานสกปรกของพวกเขาซึ่งจะไม่บอกคุณว่าพวกเขาเป็นใคร ทางออกที่ดีที่สุดของคุณคือค้นหาผู้ดูแลระบบสำหรับช่วง IP (WHOIS คือเพื่อนของคุณที่นี่) และให้พวกเขารู้ว่าคุณได้รับความพยายามในการเข้าถึงจำนวนมากจาก IP นั้น พวกเขาอาจดีพอที่จะทำอะไรกับมัน

คุณไม่ต้องการเห็นความพยายามในการเข้าสู่ระบบล้มเหลวในบันทึกของคุณดังนั้นคุณควรกรอง IP นี้ในเครือข่าย

หากคุณมีเราเตอร์หรือไฟร์วอลล์ฮาร์ดแวร์ (ไม่ใช่ที่อยู่บนเซิร์ฟเวอร์) ให้ใช้เพื่อบล็อก IP นี้ คุณสามารถขอให้ผู้ให้บริการอินเทอร์เน็ตของคุณบล็อกได้

หากเซิร์ฟเวอร์เป็น VPS ให้ผู้ให้บริการ VPS ของคุณบล็อก IP นี้ ในกรณีส่วนใหญ่พวกเขาจะไม่ปฏิเสธคำขอความช่วยเหลือของคุณทำให้ไม่มีค่าใช้จ่าย

การโจมตีจาก IP เดียวสามารถบรรเทาได้ง่ายเมื่อเทียบกับการโจมตีที่มาจาก IP ที่แตกต่างกัน เพื่อป้องกันการโจมตีแบบกระจายคุณต้องใช้บริการพิเศษจากผู้ให้บริการเครือข่ายที่คุณต้องจ่าย ในระดับเซิร์ฟเวอร์คุณสามารถต่อสู้กับ Denyhosts หรือ Fail2ban Fail2ban ปกป้องไม่เพียง แต่ ssh แต่บริการอื่น ๆ ใช้หน่วยความจำเพิ่มอีกเล็กน้อย Fail2ban ใช้ iptables เพื่อบล็อก IP และ DenyHosts ใช้ไฟล์ hosts.deny ทั้งคู่ใช้บันทึกเพื่อค้นหาความพยายามที่เป็นอันตราย คุณยังสามารถกำหนดค่า iptables เพื่อจำกัดความพยายามในการกำหนดอัตรา ssh ซึ่งไม่ต้องใช้ไฟล์บันทึก

ทุกคำตอบที่ดีข้างต้นอย่างไรก็ตาม ...

คุณเขียนว่า"ฉันพยายามอนุญาตให้บุคคลอื่นเข้าถึงเครื่อง แต่พวกเขายังคงได้รับข้อผิดพลาดของรหัสผ่าน"

เนื่องจากเราส่วนใหญ่ใช้ IP แบบไดนามิกที่มีเวลาให้เช่า DNS แบบ จำกัด ผู้ให้บริการส่วนใหญ่จึงใช้บริการ DNS แบบไดนามิกเพื่อเข้าถึงเซิร์ฟเวอร์ของเราเมื่ออยู่บนท้องถนน เป็นไปได้ไหมที่ผู้ใช้รีโมตของคุณกำลังใช้บริการดังกล่าวเพื่อไปหาคุณและนั่นคือที่อยู่ IOP ที่คุณเห็น

BTW - แฮ็กเกอร์ "พอร์ตที่แตะ" จำนวนมากพึ่งพาคุณในการทำสิ่งที่ผู้ใช้เซิร์ฟเวอร์โฮมหลายคนทำนั่นคือพวกเขาจะไม่เปลี่ยนรหัสล็อกอินสถานะการจัดส่งเริ่มต้น (มักจะเป็น "ผู้ดูแลระบบ" !!) และเริ่มใช้รหัสผ่านที่เป็นไปได้ทั้งหมด

ฉันคิดว่าคุณจะพบว่าความพยายามแฮ็ค 99% มาจากประเทศจีน นี่คือสิ่งที่ฉันได้พบ มันไม่มีประโยชน์ที่จะรายงาน IP จีนสำหรับการแฮ็กเนื่องจากอาจถูกลงโทษ ฉันไม่ได้ปิดกั้นเฉพาะ IP เท่านั้นฉันปิดกั้นช่วงที่มี IP ใช้ตัวเลือก "subnet" บนเราเตอร์ของคุณหรือกับ IPTables บนกล่อง Linux ของคุณใช้ subnet หรือ "/ bits" (เช่น: / 24) หน้านี้จะให้รายการของบล็อก IP โดยประเทศ (มีไฟล์ tar.gz กับทั้งหมด): http://www.ipdeny.com/ipblocks/data/countries หน้าเว็บ WHOIS https://whois-search.com/ให้การเริ่มต้นที่ดีแก่คุณในการค้นหาประเทศ

1 ยกเว้นว่าคุณไม่จำเป็นต้องเปิดพอร์ตมาตรฐานไปยังเซิร์ฟเวอร์ของคุณในเน็ต ตั้งค่าเราเตอร์เพื่อเปิดพอร์ตสุ่มเช่น 53846 และส่งต่อไปที่พอร์ตเครื่อง 22

แฮกเกอร์โอกาสสามารถสแกนที่อยู่ IP หลากหลายสำหรับพอร์ตที่รู้จักเช่น 22 และลองใช้ประโยชน์จาก

2nd ตีเขากลับ Nmap เขาและค้นหาสิ่งที่เขากำลังทำงานอยู่ จากนั้นพยายามเข้าถึงของเขา เช่นเดียวกับไฟกลับมา หากเขารู้ว่าคุณกำลังเข้าใกล้เขามิ้มอาจหยุด

คุณสามารถปิ๊งเขาอย่างบ้าคลั่งเหมือนถูกยิงเตือน

3 ถ หากคุณต้องการความสนุกสนานคุณสามารถเปิดบัญชีผู้เยี่ยมชมได้ ตรวจสอบให้แน่ใจว่าไม่มีสิทธิพิเศษใด ๆ เลย จำกัด ไว้ในไดเรกทอรีบ้านแขก หากคุณอยากได้รูปน่ารักคุณสามารถตั้งค่าโครงสร้างไดเรกทอรีรากปลอมเพื่อใช้งานได้ ตั้งรหัสผ่านเป็นรหัสทั่วไปหรือไม่ใส่รหัสผ่านเข้าสู่ระบบ

จากนั้นคุณสามารถใช้คำสั่งเขียนและถามเขาว่าทำไมเขายืนยันที่จะตอกย้ำความรุนแรงของคุณ