Ho installato un server Debian pubblico su un noto provider di hosting Web e sto cercando di determinare se gli hacker stanno penetrando. So ben poco di proteggere i server web, ma sto cercando di imparare. Ho configurato il mio server per disabilitare login di root su SSH e ho anche disabilitato i login delle password tramite SSH. Tutti gli utenti devono utilizzare l'autenticazione della chiave SSH. Ho anche installato Fail2ban. Ho un account ma non ci sono altri utenti, quindi nessun altro dovrebbe entrare ma me.
Quando eseguo il comando "sudo last -f / var / log / btmp" per visualizzare i tentativi di accesso errati, vedo voci come le seguenti:
ubnt ssh:notty <ipaddress1> <date1> 16:55 - 17:22 (00:27)
admin ssh:notty <ipaddress2> <date2> 11:56 - 16:55 (04:58)
user ssh:notty <ipaddress3> <date3> 07:47 - 08:24 (00:36)
pi ssh:nottyp <ipaddress4> <date4> 10:46 - 11:11 (00:24)
Queste voci indicano davvero che gli hacker sono stati in grado di accedere nonostante le mie precauzioni?
Quello che non capisco è che se eseguo il comando "sudo lastb -f / var / log / btmp", vedrò le stesse voci di sopra tranne che "time in" e "time out" "le voci sono tutte uguali. In altre parole, invece di questo:
# sudo last -f btmp
ubnt ssh:notty <ipaddress1> <date1> 16:55 - 17:22 (00:27)
Questo lo vedo:
# sudo lastb -f btmp
ubnt ssh:notty <ipaddress1> <date1> 16:55 - 16:55 (00:00)
Dopo aver letto la pagina man per ultimo, lastb, il problema potrebbe essere che non dovrei essere in esecuzione l'ultima volta contro btmp ma che dovrei essere in esecuzione lastb contro di esso, invece. Forse solo perché puoi specificare un parametro "-f" per ogni comando, ciò non significa che i comandi siano intercambiabili.
Devo anche aggiungere che non ci sono account nel mio file / etc / passwd con i nomi utente mostrati sopra. Se le persone si collegano ancora a mia insaputa, quali altre cose posso fare per impedirlo?
Grazie.