Сегодня я вошел в систему CentOS и обнаружил следующее:
There were 11126 failed login attempts since the last successful login.
Last login: Tue Mar 10 14:36:47 2015 from X.X.X.X
Это 11 ТЫСЯЧ попыток входа в систему за последние 3 дня. Какого черта? Обратите внимание, что это совершенно новый IP-адрес, который я получил от своего провайдера, и коробка совершенно новая. Я еще ничего не опубликовал из этой коробки.
Почему я получаю такое большое количество попыток входа в систему? Это какое-то сканирование IP / портов?
По сути, виновников 4: 2 из Китая (MOVEINTERNET-NETWORK), 1 из Гонконга (HEETHAI-HK) и 1 из Verizon (Verizon Online LLC (VRIS)).
Это происходит только по SSH. Нет проблем с HTTP. Должен ли я обнулить маршрутизацию виновных подсетей? Что вы предлагаете?
Вы будете получать сообщения о неудачной попытке входа в систему только для учетных записей, в которые вы входите. Поскольку сканеры SSH обычно пробуют использовать некоторые общие имена людей, а также известные системные учетные записи, такие как «root», это сообщение говорит мне, что вы входите в систему как root непосредственно через SSH. Вы не должны этого делать.
Первое, что нужно сделать, это создать для себя обычную учетную запись пользователя и затем предоставить этому пользователю права sudo. Затем отключите вход в учетную запись root через SSH в файле / etc / ssh / sshd_config (и перезапустите sshd). Это предотвратит вход в систему как root, даже если они угадывают пароль.
Кроме того, вы должны отключить вход на основе пароля и разрешить только SSH-ключи, однако это может быть немного неудобно, поэтому убедитесь, что вам это удобно.
Вы также можете изменить порт, который прослушивает ssh (по умолчанию 22). Это уменьшит шум в журнале, но не добавляет дополнительной безопасности. Единственная цель этого - уменьшить шум журнала.
Другой вариант - полностью отключить доступ по SSH из Интернета (заблокировать порт на брандмауэре), но тогда вам понадобится VPN в брандмауэре, прежде чем вы сможете получить доступ к серверу через SSH.
Вас всегда будут сканировать, если у вас есть сервер в Интернете, это просто факт жизни.