Как предотвратить бомбардировку попыток взлома VPS
С тех пор, как я купил VPS, я с первого дня получаю электронные письма, подобные показанным ниже, каждый божий день. Мне было интересно, действительно ли это нормально? Есть ли способ предотвратить это, или CSF / LFD уже является моей лучшей защитой?
Да это нормально. Добро пожаловать в Интернет. Это похоже на журнал, в котором говорится, что ваш сервер уже блокирует их, поскольку они не могут угадать пароль с первых нескольких попыток.
Как всегда, убедитесь, что пароли надежные, если они требуются. Лучше использовать только ключи ssh и не разрешать вход по паролю. Рассмотрите возможность запрета корневого входа в ssh.
Если вы делаете это, вам не о чем беспокоиться. Вы можете запустить ssh на нестандартном порту. На самом деле это не дает вам большей безопасности, особенно если вы делаете что-то из вышеприведенного абзаца, но вы увидите снижение количества наблюдаемых сбоев.
Это довольно распространено у провайдеров VPS / выделенных серверов. Эти сети являются мишенью для ботов и скрипачей.
Моя проблема с LFD / CSF и аналогичными инструментами заключается в том, что эти автоблоки действительно не нужны, если у вас есть хорошая безопасность.
Я считаю, что если вы:
- заблокировать все, что не используется вашим брандмауэром
- используйте хорошие пароли
- заблокировать прямой root-доступ
- держать обновления ОС / веб-приложений
Тогда эти сканирования больше раздражают, чем настоящую атаку.
Я также считаю, что эти инструменты автоматической блокировки создают чувство самоуспокоенности. Вы воспринимаете эти электронные письма как «обычные» и пропускаете важные угрозы.
Мой подход к этому - не предупреждать и даже не отключать автоблокировку. Правила брандмауэра, ограничивающие скорость, и хорошие практики безопасности делают ненужными такие вещи, как lfd.
Рекомендация
Если вы хотите автоматическую блокировку, я думаю, вы можете настроить CSF / LFD, чтобы не предупреждать вас.
Что касается предупреждений, я всегда спрашиваю себя. Что мне делать с этой информацией? Если вы ничего не делаете с информацией, то, вероятно, вам не нужно ее видеть. Он будет зарегистрирован, если вам нужно будет просмотреть, но мало смысла в получении электронного письма о блокировке, которая уже произошла.