-1

Столкнулся с проблемой, злоумышленники пытаются взломать сервер, в логах авторизации много записей о не удачной авторизации с разных IP адресов, записи идут с периодичностью в секунду.

Jun  5 08:58:19 vps5 sshd[17697]: Failed password for root from 157.245.105.149 port 49002 ssh2
Jun  5 08:58:19 vps5 sshd[17697]: Received disconnect from 157.245.105.149 port 49002:11: Bye Bye [preauth]
Jun  5 08:58:19 vps5 sshd[17697]: Disconnected from 157.245.105.149 port 49002 [preauth]

Пароль установлен надежный, но если они такими темпами будут подбирать, то всякое может быть

Что делать в таких ситуациях, как бороться с такими людьми?

4
  • 1
    Установить лимит запросов с одного ip. Используйте Капчу при авторизации 5 июн 2020 в 6:12
  • @АртурФранк Лимиты установлены, проблема в том, что каждая попытка авторизации происходит совсем с другого IP(Не 2-3 цифры разные, а все цифры разные) Размер лога авторизации за сегодня уже превышает 100мб. Как я понял все попытки авторизации происходят через ssh, в него реально установит капчу?
    – nicolaa
    5 июн 2020 в 6:17
  • 1
    поменяйте порт ssh. Купите себе белый ip у провайдера и настройте доступ к ssh только с одного ip 5 июн 2020 в 6:22
  • @АртурФранк Спасибо, буду пробовать
    – nicolaa
    5 июн 2020 в 6:24

3 ответа 3

2

Вижу тут пытаются подбирать пароль рута. Запретите вход под root через ssh, если это еще не сделано (опция PermitRootLogin no в sshd2_config). Входите только под обычным пользователем с правом повышения привилегий через sudo или становитесь рутом с помощью su.

Так же можно сменить порт, это должно решить проблему, потому как ломают не целенаправленно вас, сейчас любая машина в интернет с открытым 22 портом постоянно находится под подобным брутфорсом.

А еще можно отказаться от паролей. Настройте доступ по ключам. Протестируйте его. Надежно сохраните ключи не забыв сделать копию. После этого можно отключать вход по паролю установкой PasswordAuthentication no, ChallengeResponseAuthentication no

1

Это похоже на брутфорс. Если ваш пароль достаточно крепок - не стоит волноваться. Желательно ограничить лимит запросов с 1 IP и сменить пароли на более сильные.

1

Вообще, лучше запретить авторизацию из под рута в /etc/ssh/sshd_config ставим PermitRootLogin no. А авторизовываться под другим пользаком, с рут правами.

adduser nickname

Создаём пользователя, 'nickaname' замените на свой логин

usermod -aG sudo nickname

Даём пользователю рут права, 'nickaname' замените на свой логин.
Так злоумышленникам нужно будет угадать не только пароль, но и логин. Следующий этап защиты - фаервол, который будет блочить слишком частые запросы.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.