Bonjour,
Je viens de m'apercevoir dans mon fichier /var/log/secure que j'ai des tentatives de connections d'utilisateurs inconnus...Serait ce une tentative de hack? Si oui, que puis je faire?.
Merci
Version imprimable
Bonjour,
Je viens de m'apercevoir dans mon fichier /var/log/secure que j'ai des tentatives de connections d'utilisateurs inconnus...Serait ce une tentative de hack? Si oui, que puis je faire?.
Merci
Visiblement, c'est une tentative de piratage. 210.216.90.246 essaie de se connecter en utilisant plusieurs noms : enzo, mathis, lucas, theo, etc. Voici ce que donne un whois :
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
Salut,
Tu devrais enlever l'adresse de ton Kimsufi, ça pourrait donner des idées a certains...
Que faire ? Bien rien, juste vérifier que les mots de passes soient toujours actif (notamment celui du root parcequ'on peut l'enlever facilemment dans l'admin du Ks...).
Si il a une IP fixe, il existe peut être moyen de bannir l'ip.
salut
tu peux envoyer un message avec copie des logs a abuse@nomdesonfai
surtout tu dois securiser ton serveur
en utilisant fail2ban et et verifier la config de ton serveur
(ne pas autoriser root a se connecter a distance, etc)
a+
si tu veux t'amuser un peut.
tu peut aller voir du coté de snort, avec génération de réglés iptables automatique.
Attention ce n'est pas simple a mettre en oeuvre, mais l'avantage est que tout peut etre bloquer ou autoriser de maniere totalement automatique :)
C'est un plugin à ajouter pour la génération des règles Iptables?Citation:
tu peut aller voir du coté de snort, avec génération de réglés iptables automatique.
oui il me semble.
A voir du coté des ids actif
regarde ici
je ne sais plus si c'est celui la que j'avais utiliser, mais en tout cas ca ressemble
Bonjour,
Merci pour votre aide...
D'apres des recherches que j'avais fait, il pourrait aussi s'agir de scanneur...?
En fait au niveau des protections, j'ai bien un anti brute force: cPHulk
J'ai bien enlever le kinsufi...J'ai également banni l'ip...
Je vais aller voir comment fonctionne snort...
En tout cas merci!
N'installe surtout pas la sonde sur ton serveur web si tu n'as pas une conf Iptables bien secure. Car tu risques d'avoir en plus de tes logs Apache, une multitude de remontées d'alertes de Snort et ton serveur, en plus d'être une usine à gaz, va tourner au ralenti.Citation:
Je vais aller voir comment fonctionne snort...
Je ne pense pas que Snort soit nécessaire dans ton cas (je pars du principe que tu n'as qu'un serveur web).
Une bonne sécurisation d'Apache et des règles précises d'Iptables suffiront amplement ;)
Enjoy !
Ce genre de tentative d'accès est tout à fait normal pour un port ssh ouvert. D'expérience il faut en moyenne environ 30 minutes après l'ouverture d'un port ssh pour voir arriver des tentatives de connexions.
Si le nombre d'utilisateurs légitimes est limité (comme souvent), le plus simple est d'ajouter une directive dans le sshd_config:
Faire man sshd_config pour plus de détails sur ces directivesCode:
2
3
4
5
6
7
8
9
10
11
12
13
Autre piste: changer ton port ssh mais en général, avec ce qui précède, tu es déjà suffisamment protégé.
Si vraiment la journalisation des tentatives avortées t'ennuient, un IDS comme Snort pourrait faire l'affaire mais un simple fail2ban suffit largement.
c'est quoi comme serveur pour te logger , parce que sinon fail2ban peut faire l'affaire.
Bonjour,Citation:
Envoyé par ripat
Cela est déjà fait en partie...j'ai bien désactivé l'accès direct en root, j'ai uniquement un utilisateur qui peut se connecter au ssh. comme anti-Brute force il y a CPHulk d'installé et en plus j'ai configuré iptables pour que s'il y a 3 connections échoués dans un espace de temps réduit, cela banni la personne.
Je voulais le faire car j'avais déjà lu cela...le seul hic, c'est que je ne suis pas trop à l'aise avec iptables...c'etait le support de whm/cpanel qui me l'avait configuré...Je sais comment changer le port du ssh, mais ensuite pour supprimer l entrée actuelle de iptables et ajouter une nouvelle entrée pour le nouveau port...je ne sais pas encore comment faire...Citation:
Autre piste: changer ton port ssh mais en général, avec ce qui précède, tu es déjà suffisamment protégé.
Bonne soirée
Le port est indiqué dans sshd_config
Le port 22 est le port utilisé par défaut. À mon avis, il suffit de changer ce numéro dans le fichier sshd_config puis de redémarrer ton serveur ssh.Code:
2
il suffit de changer le numero de port dans le fichier sshd.conf ouu sshd_conf je sais plus, restarter le ssh, ensuite modifier en conséquence tes tables de routages avec le bon port.
je confirme apres l'annonce de la faille de securite avec les cles RSA de ssh,
j'ai eu une multitude de connexion en provenance de chine et du japon qui tentait de se connecter (sur un serveur mis a jour)
un changement de port du serveur ssh, a ete radical, plus une seule tentative de connexion