Взлом / неудачный вход на сервер
Недавно вошел на наш сервер после того, как у нас произошел сбой сайта, чтобы перезапустить его, и заметил более 50 000 неудачных попыток входа на сервер с момента последнего успешного всего за пару дней до этого. Итак, я сначала выполнил команду «last» и не обнаружил никаких подозрительных успешных попыток входа, а затем запустил «lastb» и получил выдающийся список, в основном из Китая и похожих IP-адресов.
Мой главный парень, который занимается этим, сейчас в отпуске, так что я как бы медленно учусь; Мне просто интересно, могло ли это быть причиной сбоя и замедления сервера заранее, если это атака или попытка взлома, и рекомендации по ее устранению.
fail2ban - замечательный пакет, доступный в большинстве дистрибутивов Linux. Он отслеживает неудачные попытки входа в систему и некоторое время после слишком большого количества блокировок этого IP-адреса. Вы можете захотеть установить это.
Люди, постоянно пытающиеся войти в систему, могут вызвать высокую нагрузку, если их достаточно, чтобы попытаться достаточно быстро.
Люди постоянно стучатся в вашу дверь со всего Интернета, пытаясь найти способ проникнуть в вашу систему и злоупотребить ею. Кажется маловероятным, что это было причиной сбоя вашей системы (но нельзя полностью исключать).
Вам следует заглянуть в свои системные журналы, чтобы увидеть, есть ли какие-либо соответствующие / интересные сообщения, которые появляются в то время или примерно в то время, когда система испытывала проблемы, чтобы попытаться выяснить, в чем была проблема. я нахожу Научный метод полезный инструмент в подобных случаях.
Вы можете заблокировать диапазон IP-адресов, из которого вы получаете нежелательные попытки входа в систему.
Я пишу демонстрацию с публичным IP 1.2.3.4
Замените 1.2.3.4 IP-адресом, с которого вы получаете попытки входа в систему.
Чтобы заблокировать 1.2.3. * Диапазон адресов:
iptables -A INPUT -s 1.2.3.0/24 -j DROP
Чтобы заблокировать 1.2.. диапазон адресов:
iptables -A INPUT -s 1.2.0.0/16 -j DROP
Чтобы заблокировать 1... * диапазон адресов:
iptables -A INPUT -s 1.0.0.0/8 -j DROP
После определения диапазона, который вы хотите заблокировать, сохраните изменения, внесенные в iptables.
iptables-save
Но будьте осторожны с тем, что вы блокируете этим методом. Это заблокирует весь трафик из этого диапазона IP.