Deny Hosts, stopper ssh angrep mot servere

[kennethx]

Hei.

 

Har satt opp Deny Hosts på serveren min, og jeg får daglig melding om angrep mot serveren, og IP addresser som er blitt banned.

 

Det finnes statistikk på hjemmesiden til Deny Hosts:

http://stats.denyhosts.net/stats.html

 

Her ser vi at Usa, Kina og Korea, står for top 3.

 

Deny Hosts monitorerer aktivitet på ssh login, og etter fem (default) misslykkede login forsøk fra en IP addresse så blir den bannlyst, og får ikke svar fra serveren noe mer.

 

Det er veldig konfigurerbart, med tanke på terskelnivåer for det meste.

 

Deny Hosts har også en sentral server du kan velge å sende/motta bannlyste IP addresser fra.

 

Anbefales!

[Henrik C]

Og hva krever den av systemressurser?

[kennethx]

Så og si ingenting Og jeg har en P3 500Mhz 256MB ram

[Equerm]

Fancypants, er det en webserver du har? Slik at spamboter og lignende prøver å gjøre ting på siden din?

[kennethx]

Joda, serveren hoster et domene. Web server, forum, torrent tracker, ssh osv osv. Deny Hosts detekterer brute force angrep mot ssh login.

 

Det er skript kids som kjører brukernavn/passord lister og angiper ssh login med brute force. Er gjerne opp i 5 angrep pr dag (5 forskjellige IP'er) og jeg har et forholdsvis lite profilert domene.

 

Men det er andre former for angrep også, ser man i apache access log, så ser man forsøk på bufferoverflow angrep osv osv...

 

Før jeg installerte Deny Hosts kunne auth.log bli flere megabyte på en dag! dette er da flere megabyte med ssh failed login.

 

 

Ett lite eksempel: (host navn og hacker ip sladda )

Aug 16 11:15:10 -------- sshd[2965]: error: Could not get shadow information for NOUSER
Aug 16 11:15:11 -------- sshd[2965]: Failed password for illegal user library from 84.205.40.x port 52237 ssh2
Aug 16 11:15:11 -------- sshd[2967]: Illegal user test from 84.205.40.x
Aug 16 11:15:11 -------- sshd[2967]: error: Could not get shadow information for NOUSER
Aug 16 11:15:11 -------- sshd[2967]: Failed password for illegal user test from 84.205.40.x port 52299 ssh2
Aug 16 11:15:12 -------- sshd[2970]: Failed password for root from 84.205.40.x port 52352 ssh2
Aug 16 11:15:12 -------- sshd[2973]: Failed password for root from 84.205.40.x port 52409 ssh2
Aug 16 11:15:13 -------- sshd[2975]: Illegal user admin from 84.205.40.x
Aug 16 11:15:13 -------- sshd[2975]: error: Could not get shadow information for NOUSER
Aug 16 11:15:13 -------- sshd[2975]: Failed password for illegal user admin from 84.205.40.x port 52460 ssh2
Aug 16 11:15:13 -------- sshd[2978]: Illegal user guest from 84.205.40.x
Aug 16 11:15:14 kennyboy sshd[2978]: error: Could not get shadow information for NOUSER
Aug 16 11:15:14 -------- sshd[2978]: Failed password for illegal user guest from 84.205.40.x port 52504 ssh2
Aug 16 11:15:14 -------- sshd[2981]: Illegal user master from 84.205.40.x
Aug 16 11:15:15 -------- sshd[2981]: error: Could not get shadow information for NOUSER
Aug 16 11:15:15 -------- sshd[2981]: Failed password for illegal user master from 84.205.40.x port 52545 ssh2
Aug 16 11:15:15 -------- sshd[2985]: refused connect from 84.205.40.x (84.205.40.x)

 

På siste linje i loggen har Deny Hosts kicket inn, og 84.205.40.x blir rapportert til Deny Hosts sentrale server

[Equerm]

Jeg synst du skal kontakte ISPen deres å si ifra

Lag et PHP script som sender en mail til deres ISP for hver gang, sikkert et slit uten like å finne frem alle ISP adresser men tenk så gøy det hadde vert

[kennethx]

Det er over 3000 bannlyste IP'er på serveren min nå. Jeg har ikke tid til å lete frem isp og drive mail og oppfølging av slike ting. Men det at hackerene nå legges inn i en sentral database administrert av deny hosts, slik at hacker ip'ene synkroniseres, det er jo positivt

[Equerm]

Det er over 3000 bannlyste IP'er på serveren min nå. Jeg har ikke tid til å lete frem isp og drive mail og oppfølging av slike ting. Men det at hackerene nå legges inn i en sentral database administrert av deny hosts, slik at hacker ip'ene synkroniseres, det er jo positivt

6733722[/snapback]

Meget positivt er det ja, 3000 IP adresser er veldig veldig mye hva er det for noe du bruker denne serveren til?

[kennethx]

Nå er bare ca 100 av de bannet direkte av meg, de fleste IP'ene motar jeg fra Deny Hosts server når den synkroniserer og utveksler IP'er begge veier.

 

Det som får mest trafikk er nok siden der jeg hoster en winamp plugin jeg har laget. http://aonow.kennyboy.org

Ellers er det stort sett venner og kjente som er innom noen andre subdomener, privat forum og litt mer.

[xqus]

Jeg løste dette problemet med å deaktivere passordbasert autentisering. Virker veldig bra når det er bare jeg som skal ha SSH tilgang til serveren.

[kennethx]

I.o.m at jeg bruker ssh login til serveren når jeg ikke har lokal tilgang, og jeg har andre brukere som bruker ssh tilgang til serveren, så er jeg litt avhengig av at det er mulig å logge inn med gyldig bruker/passord fra Internet

 

Oppe i 4294 bannlyste IP'er nå

[olear]

Bytt port, problemet løst

[kennethx]

vel, da tar hackeren en kjapp nmap, så er problemet tilbake

 

Det absolutt ikke en løsning, deny hosts er imidlertid en løsning

[Lindsay]

Har innstalert Deny Host så får vi se uansett så slår fail2ban inn og banner de

Endret 28. august 2006 av nre1458

[Gjest Slettet-df17e]

Personlig bruker jeg knocd for og beskytte min kjære sshd - funker utmerket

[olear]

vel, da tar hackeren en kjapp nmap, så er problemet tilbake 

 

Det absolutt ikke en løsning, deny hosts er imidlertid en løsning 

Vel, dette er automatiske script som alltid går etter port 22. Jeg har aldri fått et angrept siden jeg skiftet port.

[Hagforce]

Jeg byttet også port til en 4sifret, har ikke hatt noen forsøk siden.

[Zerge]

Mine ssh servere ligger bak TLS/Blowfish krypterte tuneller:)

<3 OpenVPN <3

[xqus]

I.o.m at jeg bruker ssh login til serveren når jeg ikke har lokal tilgang, og jeg har andre brukere som bruker ssh tilgang til serveren, så er jeg litt avhengig av at det er mulig å logge inn med gyldig bruker/passord fra Internet

 

Oppe i 4294 bannlyste IP'er nå 

6749900[/snapback]

 

Brukere kan fremdeles logge inn fra hvorsomhelst... så lenge de har sin private nøkkel med seg...

[sdf123]

Nå er bare ca 100 av de bannet direkte av meg, de fleste IP'ene motar jeg fra Deny Hosts server når den synkroniserer og utveksler IP'er begge veier.

 

Det som får mest trafikk er nok siden der jeg hoster en winamp plugin jeg har laget. http://aonow.kennyboy.org

Ellers er det stort sett venner og kjente som er innom noen andre subdomener, privat forum og litt mer.

6739307[/snapback]

Så kjekt ut denyhost. Står den sida på en p3, 50mhz, 256ram? Virke veldig kjapp. Hva slags linje står den på?