bruteforce napadi - suzbijanje?

Zdravo

na kompjuteru teram slackware, i naravno ukljucen sshd, da mogu da pristupim kompjuteru recimo is skole, ili od keve sa posla, ili od bilogde..

e sad.. dnevno dobijam prosecno oko dva bruteforce napada na ssh, mislim da su automatski, username-i sve od ann do zooplankton (mislim da neko pogresio userlst i passlist ;)) .. svaki napad traje oko 5, 10 minuta.. i osim znaka za konekciju na ssh u gkrellmu, napad se ni ne primecuje.. naravno passworda nikad ne provali

sad zanima me, sta vi radite da sprecavate takve napade? drzite sshd pokrenutna nekom nestandardnom portu (da automatizirovani boti ne nadju? ili neki drugi nacin? .. video sam neke programe/skripte koji ubacuju automatsko IP u hosts.deny posle recimo 5 pokusaja, ali to sta sam probao.. nije vredilo nista. dali postoji bolji nacin?

ps. na dinamickom IP-ju sam

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

Pogledaj ovu temu
https://www.elitesecurity.org/t123228

Ja sam samo sklonio sa 22 porta od pocetka i nikad nisam primjetio nijedan brute force napad. Mada ne furam neki ultra posjecen server. Ali ipak...

Potpis

Beneath civilization's fragile crust, cold chaos churns...

Onemoguci SSH za usera root (koristis obincan nalog i su), makni ga sa porta 22 i izaberi dobru lozinku (ako imas dobru lozinku, dakle takvu da dictionary napad ne moze uspeti, mozes i da ostavis ssh na potu 22 i za korisnika root). Pazi, ako je lozinka slaba i provale je napadom, j... ti mamicu! To je #1 greska sysadmina, losa lozinka.

@tdjokic

Samo micanje sshd sa porta 22 nije resenje, jer sde lako skeniraju portovi

Meni je root login uvijek onemogucen.

Inace, nijedno rijesenje nije savrseno. Sklanjanje sa standardnog porta makar eliminise genericke napade...

Potpis

Beneath civilization's fragile crust, cold chaos churns...

root login je vec po defaultu iskljucen sa ssh-a
moj password je hm.. radom generated kombinacija VELIKIH/malih slova i brojeva.. nema ga sigurno u nikakvom dictionary-u.. i toliko dug da bi klasican BF trajao par godina

stavicuga na neki drugi port.. ja sam 99% da su to botov koji preskeniraju recimo 193.77.*.* trazeci trojan portove i jos ssh i router portove

ne plasim se ja, da bi neko provalio, samo dosadi mi ona zelena traka u gkrellmu, gde vidim da se neko vec pola sata konektuje, i nekih 3-4k linija 'login failed...' u /var/log/messages

stavicu na neki 1024+ port, pa da vidimo dali ce botovi odustati, ili skeniraju ceo range.. ako bude vremena, mozda cu i da napisem nesto sta daje "ip : all" u hosts.deny

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

instaliraj port sentry i lepo sumnjive ip rutiras u blackhole :)

Potpis

Tony Melendez:
http://video.google.com/videoplay?docid=-
3819862628517136815&q=tony+melendez

NIKADA NE UZIMATI HOSTING NA GO DADDY!

Prebaci na neki drugi port, neki visok i bas onda javi nakon nekog vremena jel i dalje imas tih problemcica. Mislim da neces imati nijednu takvu probu..

Potpis

Beneath civilization's fragile crust, cold chaos churns...

Meni je /var/log/mesages toliko veliki da ne moze ni da se otvori... :(
Kada bi se izbrisao, da li bi i dalje unosio logovanja?

Naravno.
Kako to da nemas neki logrotator??

Potpis

Beneath civilization's fragile crust, cold chaos churns...

Nemam! On brise logove starije od... tako nesto, ili do odredjenog broja?

logrotate po defaultu cuva logove od poslednje 4 nedelje u odvojenim fajlovima, a one starije brise. BTW, koliki je taj log da nece da ga otvori? Kod mene instaler od 238MB editor otvara trenutno?

Potpis

JaFreelancer.com

ako otvaras nekim gui editorom.. mozda zbog rama ili necega

probaj da otvoris sa nekim pagerom tipa 'less' ili nesto.. ako ne.. jos uvek imas 'tail'

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/