Version imprimable
Bonjour
Dans mon auth.log j'ai plein de lignes de la forme :Toujours le même PC depuis hier quand ce fichier a été créé !Code:
2
3
J'ai mis dans /etc/hosts.deny :C'est bon ?Code:ALL : 212.122.
Troumad,
Pourquoi ne met tu pas en place Fail2ban sur ta station afin de blacklister les IP effectuant des attaques par brute force ??
Oui c'est bon, avec ca tu es tranquille :mouarf:Citation:
Envoyé par troumad
Il faudra peut-être que je cherche à savoir comment l'utiliser ! Je n'étais jamais tombé face à ce problème ;)Citation:
Envoyé par goldkey
Merci !Citation:
Envoyé par goldkey
Dans l'affaire, il a tellement
Rien de plus simple...fail2ban est fourni en package avec la plupart des distributions.Citation:
Envoyé par troumad
De plus un fichier de configuration par défaut est fourni pour ne pas te casser la tete.
Sur le site de fail2ban tu trouveras toutes les infos necessaire.
Cela t'evitera bien des soucis ;)
Salut,
J'ai deja repéré ce genre d'attaque sur mon FTP (ma passerelle a automatiquement blacklisté l'IP d'origine)
Question : pourquoi moi?? :D
Est-ce qu'il s'agit de robots qui choisissent des IP aléatoires? comment l'attaquant sait-il que j'ai un FTP en ligne (FTP perso, pas un truc de FAI) ?
Evidemment ce sont des robots qui scan des IP's plus ou moins aléatoirement.Citation:
Envoyé par freemanbubu
Une fois que ces robots ont repéré un service d'ouvert sur ton IP (cas des IP fixe) ils reviendront régulièrement :aie:
osef, je suis en IP dynamique
Mais c'est vrai que ce genre d'attaque est violente, j'affichais le log en temps réel au moment ou sa c'est produit (coup de chance :D), et les tentatives d'accès en boucle, impressionnant 8O
Ce qui est curieux aussi, c'est que lorsque j'ai pris mon abonnement internet, le 2 premiers mois, le filtre de détection/prévention d'intrusion à bloqué une masse d'IP (plus de 100 en tout) qui tentaient des attaques sur différent protocoles, depuis, quasiment plus rien 8O (sauf pour le FTP récemment)
Un scan de port sur un sous réseau complet + récupération des ips avec une liste de port ouvert : 20/21, 139 (partage bilou)....etc
Et après, on lance l'attaque de force brute...
Aussi simple que cela
Pour tester vos mots de passe, invitez John
Je l'installe sur mes deux serveurs et dès que j'ai le temps je regarde ce qu'il fait et ce que je peux vérifier...
J'espère qu'il n'est pas trop gourmand en CPU : mes serveurs sont de vieux PC...
Si c'est un serveur ssh privé, change le port par défaut (22) en un autre numéro (> 1024) que tu connais, les attaques cesseront aussitôt ;)
Dans sshd.conf c'est la directive Port.
Si on plus, on modifie du côté client le fichier /etc/ssh_config de la même façon, ça ne devrait pas trop gêner.
Je vais tester : modifier tous ces paramètres sur mes serveurs/clients.
Le changement de port n'est pas très pratique côté client : scp -P1024 d'un côté, ssh -p 1024 de l'autre. Deux protocoles que j'utilise, deux utilisations différentes des paramètres :(
Argh !
J'avais oublié que je ne suis maitre du firewall professionnel... J'ai tout passé en autre chose que 22 et je ne peux plus accéder à rien...
En TP Linux avec des étudiants, mon collègue (on es 2 prof pour 25 étudiants) s'est amusé à donner les mots de passe des étudiants. Ça leur a fait peur ;)Citation:
Envoyé par Katyucha
Sur une autre liste, il y a un papa qui a testé le mot de passe de sa fille avec : il a eu peur. Tout d'abord, pourquoi avoir choisi ce mot et ensuite, il était trop simple.
Et la peur se transforme en terreur !Code:grep Failed /var/log/auth.log | grep ssh
Bonjour
Je vais créer un nouveau fil sur fail2ban : j'ai des problèmes...