Brute force SSH

Version imprimable

Brute force SSH

Bonsoir,

Notre serveur sous Gentoo subit régulièrement des attaques par brute force ...

Code:

1
2
3
4
5
6
7
8
Jun  6 00:11:01 nsxxx sshd[25520]: Invalid user Chiasa from 216.74.240.242
Jun  6 00:11:04 nsxxx sshd[25600]: Invalid user Chie from 216.74.240.242
Jun  6 00:11:06 nsxxx sshd[25658]: Invalid user Chieko from 216.74.240.242
Jun  6 00:11:08 nsxxx sshd[25697]: Invalid user Chiharu from 216.74.240.242
Jun  6 00:11:11 nsxxx sshd[25741]: Invalid user Chika from 216.74.240.242
Jun  6 00:11:14 nsxxx sshd[25841]: Invalid user Chikako from 216.74.240.242
Jun  6 00:11:17 nsxxx sshd[25909]: Invalid user Haruki from 216.74.240.242
Jun  6 00:11:20 nsxxx sshd[25977]: Invalid user MITSUKO from 216.74.240.242

La liste est longue :mrgreen:
Bref, sauriez-vous comment éviter ce genre de choses ?
Merci !

07/06/2009, 02h28
CedrX

Tu devrais t'intéresser à fail2ban.
Principe résumé:
Bannir une adresse IP pendant 10 minutes après plusieurs essais infructueux de connexion.
08/06/2009, 01h03
lavazavio

Tu peux déjà commencer par utiliser un port différent du port 22 pour ton serveur SSH (supérieur à 1024).

Citation:
Envoyé par Portus
Bonsoir,

Notre serveur sous Gentoo subit régulièrement des attaques par brute force ...
Code:

1 2 3 4 5 6 7 8 Jun 6 00:11:01 nsxxx sshd[25520]: Invalid user Chiasa from 216.74.240.242 Jun 6 00:11:04 nsxxx sshd[25600]: Invalid user Chie from 216.74.240.242 Jun 6 00:11:06 nsxxx sshd[25658]: Invalid user Chieko from 216.74.240.242 Jun 6 00:11:08 nsxxx sshd[25697]: Invalid user Chiharu from 216.74.240.242 Jun 6 00:11:11 nsxxx sshd[25741]: Invalid user Chika from 216.74.240.242 Jun 6 00:11:14 nsxxx sshd[25841]: Invalid user Chikako from 216.74.240.242 Jun 6 00:11:17 nsxxx sshd[25909]: Invalid user Haruki from 216.74.240.242 Jun 6 00:11:20 nsxxx sshd[25977]: Invalid user MITSUKO from 216.74.240.242
La liste est longue :mrgreen:
Bref, sauriez-vous comment éviter ce genre de choses ?
Merci !
1 - vérifier la force de tes mots de passe
2 - changer de port ssh
3 - fail2ban ou si l'attaque ne vient que d'une adresse ip ... la bannir simplement

18/06/2009, 11h01
Vlad59

Ou ajouter une règle iptables qui interdit plus de X tentative de connection par minutes pour la même IP (module recent).