Penso che il mio server sia sotto attacco, cosa posso fare per fermarlo? [duplicare]

Non penso che il tuo server venga attaccato in modo molto efficace, se è il solito attacco di tipo "guess root password password". L'attacco non funzionerà se hai configurato correttamente sshd (con PermitRootLogin no ).

Se sei a tuo agio con la codifica in linguaggio C, puoi creare un "tarpit" da sshd seguendo queste istruzioni . L'ultima volta che l'ho fatto, ho impostato il mio server SSH per ritardare per 7 secondi una password errata. Non ho fatto esattamente come dicevano le istruzioni, ma era piuttosto vicino. Ad ogni modo, con una password errata, sshd dorme per alcuni secondi, il che inficia in realtà i cicli che gli indovini delle password possono compromettere, poiché inviano le richieste in sequenza e a thread singolo.

Se configuriamo tutti i nostri server SSH in questo modo, la supposizione della password SSH farà la fine del dinosauro.

Benvenuti in Internet. Ci sono centinaia e migliaia di host che cercano i server SSH e tentano di forzarli ogni giorno. Non sei diverso. Ci sono alcune cose che puoi fare per proteggerti.

In primo luogo, disattivare gli accessi basati su password se possibile. L'utilizzo solo dell'autenticazione a chiave pubblica interromperà completamente la forzatura brute della password. Se è necessario utilizzare l'autenticazione basata su password, assicurarsi di non disporre di account / password predefiniti, disabilitare il login di root e imporre la complessità della password con qualcosa come passwdqc o pam_cracklib .

In secondo luogo, utilizza fail2ban per monitorare gli accessi non validi e vietare temporaneamente i trasgressori. I divieti temporanei sono migliori di quelli permanenti, dal momento che potresti bloccarti per sbaglio e i divieti permanenti ingombreranno le regole del tuo firewall.

Sembra proprio Con la quantità, i tempi e tutti i nomi utente sono valori predefiniti generici. Se provengono tutti dallo stesso ip, come appare nel bit di log su pastebin, puoi semplicemente bloccare quell'ip.

Ho appena saputo che esiste un pacchetto che serve a questo scopo: link

Si noti che questo non è "Live". Guarda i file di log e quindi blocca quel particolare IP. Nel tuo caso, funzionerebbe.