Discussion :

[adri5656]

Bonjour,

je possède un petit serveur dédié (dedibox).
Hier j'ai reçu un mail du système de surveillance 'monit' :

Connection passed Service sshd

Date: Tue, 15 May 2012 01:42:37 +0200
Action: alert
Host: sd-00000
Description: 'sshd' connection passed to INET[127.0.0.1:22] via TCP

Your faithful employee,
monit

Si j'ai bien compris, cela veut que quelqu'un a réussi à se connecter en ssh à mon serveur?

De plus hier midi j'ai regardé l'activité du processeur, celui-ci était de 17% ce qui est largement supérieur à d'habitude, et c'est le service mysql qui consommait ces 17% de ressources. (est-ce une attaque par injection sql?)

Enfin plus tard dans la journée, online.net à suspendu mon serveur. Après un appel ils m'expliquent que mon serveur subis un flood entrant. Et qu'ils attendent que ça soit finis avant de le relancer.

Je suis loin d'être un expert en réseau, donc je me pose plusieurs questions:
-quel type d'attaque ai-je reçu?
-est-ce que la personne a effectivement réussi à se connecter en ssh sur mon dédié? (donc récupérer du contenu? elle connait donc mon mot de passe ? ou un autre moyen est possible?)

-Que puis-je faire pour empêcher que cela se reproduise?

Merci,
Adrien

[frp31]

pas forcément une attaque ça peut aussi une simple scanport qui est partie en couille et a bouclé....

puisque la ssh connection ok est de 127.0.0.1 donc locale.

tu peux appliquer les procédures de protections communes contre l'injection, et ajouter fail2ban si tu veux ajouter de la sécurité, c'est facile à mettre en place et ça prend peu de ressources.

tu peux aussi tester le niveau de sécurité de ta machine avec nexus par exemple, mais ça nécessite une petite procédure un peu rébarbative et longue... mais pas difficile

[adri5656]

Merci frp31 !
Le service technique a remis en marche mon serveur car le flood était terminé.
J'en ai profité pour mettre à jour debian et aussi pour installer fail2ban qui à l'air intéressant !

Sinon j'ai fait quelques recherches sur nessus (pas nexus ), et dès que j'ai le temps je test ça !

Merci pour tes conseils,

Adrien