SSH:n murtosuojaus

[kranken]

Eilen iltapäivällä huomasin taas nettiliikennevalon säännöllisestä vilkkumisesta, että joku kolkuttelee taas koneellani pyörivää SSH serveriä. Tarkisin Wiresharkilla liikenteen ja todellakin joku kävi satunnaisia käyttäjätunnus salasana yhdistelmiä läpi. IP osoite viittasi taas jonnekkin Venäjäjälle. Lisäsin IP:n palomuurin estolistalle.

Tämän kaltaisia hyökkäyksiä tulee muutama kappale päivässä ja tunnuksia käydään läpi muutama sata per hyökkäys. Sinänsä omat tunnukset on tehty hyvin, eli kyseisen kaltaisilla hyökkäyksillä ei koneelleni päästä, mutta kyllähän tuo vähän harmittaa.

Joskus kävin openSSH:n dokumentaation läpi etsien optiota, jolla voisi rajoittaa samasta IP:stä tulevien peräkkäisten kirjautumisyritysten määrän vaikka viiteen, mutta en löytänyt. Jollain sopivalla shell skriptillä ja iptablesilla voisi varmaankin tehdä tällaisen ominaisuuden..? Ideoita?

[JJK]

Fail2ban on se mitä haet.

[Jozzi]

itse olen käyttänyt DenyHosts:ia tuohon

[mgronber]

itse olen käyttänyt DenyHosts:ia tuohon

Fail2ban löytyy pakettivarastoista, tuota ei taida löytyä.

[Nakkis]

Hyvä vaihtoehto on myös laittaa sshd kuuntelemaan jotain muuta porttia, kuin 22.

[janne]

Hyvä vaihtoehto on myös laittaa sshd kuuntelemaan jotain muuta porttia, kuin 22.

no toimiva se varmaan on, mutta en minä sitä mitenkään erityisen hyvänä pidä. itse olen konffannut koneen käyttämään public key autentikointia ja unohtanut koko jutun.

[Nakkis]

Hyvä vaihtoehto on myös laittaa sshd kuuntelemaan jotain muuta porttia, kuin 22.

no toimiva se varmaan on, mutta en minä sitä mitenkään erityisen hyvänä pidä. itse olen konffannut koneen käyttämään public key autentikointia ja unohtanut koko jutun.

Jeps, itse en vain ole tuota public key hommaa jaksanut säätä, kun ei sitä avaintakaan varmasti aina ole mukana ja palveluntarjoaja blokkaa muutenkin kaikki portit 1024:n asti.

[T.M]

Tässä on mitä minä tein:

-Root login kielletty
-Vaihdoin sshd:n kuuntelemaan eri porttia
-Sallittu kirjautuminen ssh:lla vain yhdellä tunnuksella
-Palomuurista sallittu kirjautumiset vain tietyistä ip-avaruuksista
-www-palvelimen logeista luetaan cron:lla tiettyä koodia joka avaa koodin syöttäneelle ip:lle palomuurissa aukon tuolle sshd-portille jos satun olemaan koneella joka ei kuulu palomuurista sallittuihin ip-avaruuksiin.

Tuon viimeisimmän virityksen hyöty voi olla kyseenalainen. Taitaa olla todenäköisempää että www-palvelimessa on jokin remote-exploitti kuin sshd:ssa. Mutta pidetään nyt mielenrauhan vuoksi käytössä.

[Squirrel]

Portin vaihtaminen on aika hyödytöntä, kun ssh portin saa selville skannaamisella.

[janne]

-Root login kielletty

tuohan on oletuksenakin noin ja lisäksi ubuntussa on root tili muutenkin diabloitu, joten roottina ei pystyisi loggaamaan vaikka se olisi sallittuakin mutta tietty onhan tuo ihan oikeasti hyvä tarkistaa, että se tosiaan on noin.

Portin vaihtaminen on aika hyödytöntä, kun ssh portin saa selville skannaamisella.

pitää paikkansa, mutta ainakaan automatisoidut hyökkäykset (madot, ym.) eivät tunnu ainakaan juuri tällä hetkellä juurikaan portteja skannailevan vaan yrittävät kiltisti oletusporttia. sinänsä mikään ei takaa etteikö tuo muuttuisi vaikka heti huomenna, mutta toisaalta porttiskannaus on myös mahdollista tunnistaa ja se on lähes poikkeuksetta hämärähommaa toisin kuin loggausyritys.

no, kuitenkin minusta portin vaihtaminen on vaan väärin eikä lainkaan tarpeellista.

[T.M]

Miksi portin vaihtaminen olisi väärin ?

"Skripti-nyypiöiden" jujutus onnistuu noin helposti eikä tarvitse sitten lähetellä ubuntu-foorumeille viestejä jossa ihmetellään esim. auth.log:eja

Porttiskannauksen teko randomina pitkin verkkoja on huomattavasti rankempaa puuhaa kuin oletusportin koputtelu. Voisi kuvitella että siinä voi pahimmassa tapauksessa aiheutua vaikka ikäviä seurauksia.

[velvetGreen]

Porttiskannauksen teko randomina pitkin verkkoja on huomattavasti rankempaa puuhaa kuin oletusportin koputtelu. Voisi kuvitella että siinä voi pahimmassa tapauksessa tällaisesta toiminnasta voi aiheutua vaikka seurauksia.

Näin on.

[janne]

Miksi portin vaihtaminen olisi väärin ?

miksi ylipäätään sopia mistään? portti 22 nyt sattuu olemaan varattu ssh:lle ja ssh-palvelin (vain) jossain toisessa portissa jättää tämän kätevästi huomiotta.

käytännössä tuo portin vaihtaminen ei oikeasti tee palvelinta yhtään sen turvallisemmaksi, vaan ainoastaa siivoaa logeja hetkellisesti. portti jossa palvelinta ajetaan paljastuuu kyllä ajan myötä eikä palvelin ole tällöin yhtään sen turvallisempi. toisaalta miksi konffata palvelintaan oikeasti turvallisesti kun voi hiemna pienemmällä vaivalla työntää päänsä pensaaseen ja kuvitella olevansa turvassa.

sitä paitsi mitä useammalla koneella palveluiden portit ovat mitä sattuu, niin sitä tovennäköisemmäksi porttiskannauksetkin käyvät.

"Skripti-nyypiöiden" jujutus onnistuu noin helposti eikä tarvitse sitten lähetellä ubuntu-foorumeille viestejä jossa ihmetellään esim. auth.log:eja

skriptinyypiö käyttää tietysti scriptiä joka selvittää sen portin. oikeasti kuitenkin valtaosa hyökkäyksistä on matojen/zombiverkkojen suorittamia ja sillä ei ole mitään tekemistä nyypiöiden kanssa, päin vastoin.

ja mitä logeihin tulee, niin niitä ihmetellään joka tapauksessa.

Porttiskannauksen teko randomina pitkin verkkoja on huomattavasti rankempaa puuhaa kuin oletusportin koputtelu.

on varmasti rankempaa, mutta hyökkäyksen suorittaja ei luultavasti ole niin tyhmä, että käyttäisi hommaan oman koneensa resursseja. jos tuhannet(/miljoonat?) saastuneet koneet skannailevat verkkoa, niin se ei tunnu yhtään raskaalta.

Voisi kuvitella että siinä voi pahimmassa tapauksessa aiheutua vaikka ikäviä seurauksia.

kuten jo sanoin, hyökkääjä saa olla oikeasti aika tyhmä jos käyttää hyökkäykseen omaa konettaan, sen sijaan hyökkäyksen järjestäjää ei varmasti liiemmin kiinnosta kenen mummon/vaarin/aloittelijan/tietoruvasta piittamattoman/kenen tahansa muun koneelta suoritetusta automatisoidusta hyökkäyksestä koituisi 'ikäviä seurauksia' koneen omistajalle.

[Squirrel]

Tosin tuntuu nuo madot jne. kokeilevan lähes aina englanninkielisiä tunnuksia. (tai siis enkkunimia jne.) Kai ne kohtapuoliin osaa ruveta etsii muidenkin maiden nimien perusteella, mutta vaikka osaisikin, en huolestu yhtään siitä, että ne yrittää mun koneelleni.

[Risto H. Kurppa]

Tämä nyt on varmaa sitä 'auth.login ihmettelyä', mutta 16 000 yritystä sisään 120 päivässä. Mutta noista tunnuksista:

Suurin yrittää roottia, paljon on myös guestia. Lisäksi on paljon japanihtavia nimiä (shiraki, hagiwara, nakamoto, motoka) - muuten rootin kanssa vuorotellen. Eri linux-distrojen nimiä, palveluiden nimiä (httpd, mysql, email, cvs, tomcat, php).

Marraskuussa on ollut jossain vaiheessa kuitenkin 'paremman todennäköisyyden nimilistat' käytössä: 263 erilaista suomalaista nimeä - lähinnä jotenkin 'tunnettuja' nimiä, kuten ahtisaari, hursti, hyypia, hurmerinta, helminen, hameenlinna, imatra, inari, gustaffsson, espoo ja eurooppa. I-kirjaimeen on kuitenkin nimet loppuneet, kenties yrittäneet uudemman kerran myöhemmin.

rhk.homelinux.net:8080/temp/nimia.txt
Hyvä meininki, tuosta saa jo vaikka minkälaista nimilistaa kokoon


r

[janne]

Tosin tuntuu nuo madot jne. kokeilevan lähes aina englanninkielisiä tunnuksia. (tai siis enkkunimia jne.) Kai ne kohtapuoliin osaa ruveta etsii muidenkin maiden nimien perusteella, mutta vaikka osaisikin, en huolestu yhtään siitä, että ne yrittää mun koneelleni.

on kyllä totta, että valtaosa taitaa kokeilla englanninkielisiä etunimiä, mutta oli minulla joku viikon pätkä kun joku mato yritti suomalaisillakin nimillä sisään. tuonkin tosin huomasin ihan sattumalta ja jäin huvikseni seurailemaan tilannetta, joten voi olla, että niitä on ollut enemmänkin.

[Judanssi]

Kuinka herkästi muuten ilmoitatte ko. ISP:lle noista ilmoituksista? Itselläni tuo on satunnaista, mutta ei mitenkään harvinaista. Huonolla englannilla tehty ilmoitus, mihin osoitteeseen ja mistä noita on tullut + liitteeksi copypaste auth.logista.

Niin ja onkohan tuosta urputuksesta mitään hyötyä?

[T.M]

miksi ylipäätään sopia mistään?

Jankkaan vielä asiaa. Minä en ole ainakaan sopinut missään että pidän sshd-palvelinta portissa 22. Entäpä miten väärin on pitää httpd-palvelinta muussa kuin default portissa. Vai olenko minä tämänkin sopinut jossain ?

Ihan varmasti vaikeutuu/hidastuu murtoyritysten teko jos zombiet vetävät porttiskannauksia pitkin maailmaa.
Käännetään asia niin päin. Kuinka monelle on tullut auth.logiin yrityksiä jos sshd roikkuu muussa kuin oletusportissa ?

Mielestäni tuo turvallisuuslisäys portinvaihdolla on samaa luokkaa kuin että autoa parkkeeratessa miettii hieman mihin jättää auton. Viekö sisäpihalle vai jättääkö pimeälle parkkipaikalle. Ei merkittävää mutta vähän kuitenkin...

Skannauksien ilmoittelu:
Työpaikalla olen ilmoitellut kotimaasta palomuuriin tulevista selkeistä matoskannauksista yms. Olen ilmoittanu asiasta yleensä suoraan skannuslähteeseen ja sieltä on yleensä tullut kiitoksia+ilmoitus koneiden siivoamisesta. sshd-yrityksiä en ole aktiivisesti monitoroinut joten niistä en ole ilmoitellut.

Ulkomaille en viitsi vaivautua varsinkin kun yritykset tulevat yleensä kaukaa idästä/etelä-amerikasta.

[Tonde]

miksi ylipäätään sopia mistään? portti 22 nyt sattuu olemaan varattu ssh:lle ja ssh-palvelin (vain) jossain toisessa portissa jättää tämän kätevästi huomiotta.

Tämä on sangen ymmärrettävää, jos puhutaan yritysverkoista tai kaupallisista verkoista. Yksityiselle henkilölle, jonka ssh-käyttö on oman koneen etäkäyttöä, tällä ei ole mielestäni mitään merkitystä.

Kuinka monelle on tullut auth.logiin yrityksiä jos sshd roikkuu muussa kuin oletusportissa ?

puoli vuotta ollut ssh ei default portissa. Yhtään tunkeutumisyritystä ei näy auth.logissa.

[janne]

miksi ylipäätään sopia mistään?

Jankkaan vielä asiaa. Minä en ole ainakaan sopinut missään että pidän sshd-palvelinta portissa 22. Entäpä miten väärin on pitää httpd-palvelinta muussa kuin default portissa. Vai olenko minä tämänkin sopinut jossain ?

juu sinä et ole varmaa asiaa kirjallisesti missään sopinut homma nyt vaan on speksattu niin sinua hieman korkeammalla tasolla. mutta toisaalta et ole varmaan missään sopinut myöskään käyttäväsi palvelimillasi TCP/IP-protokollaa? vaihtamalla protokollaa yhteysyritykset vähenevät entisestään.

Ihan varmasti vaikeutuu/hidastuu murtoyritysten teko jos zombiet vetävät porttiskannauksia pitkin maailmaa.

porttiskannaus ei oikeasti kestä kovin kauaa, varsinkaan fiksulla rangella. madot eivät välitä kauan skannaus kestää ja kaiken lisäksi kun portti kerran löytyy, niin se on myös tiedossa. tietty sitten sitä porttia voi vaihdella kilpaa skannausten kanssa.

Mielestäni tuo turvallisuuslisäys portinvaihdolla on samaa luokkaa kuin että autoa parkkeeratessa miettii hieman mihin jättää auton. Viekö sisäpihalle vai jättääkö pimeälle parkkipaikalle. Ei merkittävää mutta vähän kuitenkin...

juu, vertaus varmaan pätee jos autoa ei laita lukkoon.

ssh-serverin saa kuitenkin oikeasti konffattua niin, että sinne ei tulla sisään, ellei palvelinohjelmistosta löydy erittäin vakavaa remote exploittia. tuo taas on harvinaisen epätodennäköistä ja kaiken lisäksi tuon kaltaiset aukot paikataan aivan järkyttävän nopeasti sellaisten löydyttyä.  oiken konffatulla palvelimella puolestaan ei ole väliä mihin sen 'parkittaa' ja siksi en edelleenkään näe mitään järkeä 'parkittaa' sitä yhtään mihinkään muualle kuin IANA:n IP-protokollalle speksaamaan porttiin