Я обновил свой sshd_config, чтобы быть более строгим по отношению к ботам. а именно:
Это было и хорошо, и плохо. Хотя он еще больше блокирует ящик, после тестирования я заметил, что даже при ведении журнала VERBOSE запрещенные клиенты не будут видеть свои попытки, зарегистрированные в /var/log/auth.log.
например
ssh baduser@example.com
не будет отображаться в файлах журнала, потому что клиент не пытался авторизоваться.
Я хотел бы убедиться, что эти события регистрируются, так как хосты могут считаться «злыми».
Я не большой поклонник fail2ban, так как он эффективен только против злоумышленников, у которых нет сотен / тысяч IP-адресов для использования в распределенной атаке методом грубой силы. Таким образом, он ловит только злоумышленников, которые осуществляют полный перебор с одного IP-адреса.
Хозяева поймали на этом зло? Что ж, они по крайней мере заражены кодом бота, чтобы их можно было использовать в атаках.
За последнее десятилетие я обнаружил, что выгоднее сосредоточиться на том, что вы уже сделали, и направить свою энергию на предотвращение других направлений атаки. Я считаю, что лучше использовать подход к безопасности с использованием белого списка, чем обратный / реакционный черный список.
Требуется для защиты SSH:
Чрезвычайно полезно:
Я понимаю, что это не тот технический ответ, который вы ищете.