Turvake oma servereid, arvuteid - robotid ründavad!

[spott]

Kuna erinevaid roboteid tuleb järjest juurde ja nende käsitlemine muutub lihtsamaks, siis soovitan kõigil üle kontrollida oma Linuxi purkide turvalisuse tasemed.
Uurin ise just eilse juhtumi logisid - esialgu midagi hullu näha pole. Sisse saadi pingviini kontosse, kuid see pole isegi mitte wheel grupis - üritatid muidugi erinevaid asju kasutada, kuid jälgi õnnestumisest esialgu veel pole.
Igatahes kuna ma ei saa keelata ssh-d, siis võtsin seal kasutusele karmimad turva meetmed. Kõigil kasutajatel on ssh kasutamine keelatud. kaasa arvatud root. Eraldi kasutaja on loodud ainult ssh jaoks ja tema saab kasutada su-d, et siis oleks võimalik edasi uuendusi jne teha.
Samuti jälgige oma serverite kasutajanimesid, logisid.
Logi uurides avastasin, kuidas täna öösel on taas kolistatud ssh taga robotiga ja erinevaid kasutajanimesid proovitud. IP paistab taas olevat lombi tagune.

[konna]

Njah peaks endagi süsteemi ylevaatama. Õnneks on oht suhtkoht väike kuna tcp pordid on kinni ja isegi mitte hea tahtmise juures ei anna mu ssh`d brute forceda.

[spott]

krt pea iga öö skännitakse.
Igatahes tõmbasin audiitori ja kui aega saan, siis testin ise sama moodi serveri ära. Igaks juhuks.

[siim]

no dziises.. mida te põete.. kui kasutada piisavalt pikkasi ja loogikaväliseid paroole, siis võtab brute force nii mõttetult kaua aega, et keegi ei viitsi jamada sellega. las sorgivad. niikaua, kui ssh port on kõigile nähtav ei kao laamendajad kuhugi. eraldi konto ssh kasutamise jaoks tundub natuke kummaline idee 8O kuna see on enamvähem sama ohtlik rünnakule kui iga teine kasutaja va. root
rohkem peaks vist mõtlema meili liikluse krüptimise ja võibolla ka https'i peale

[spott]

no dziises.. mida te põete.. kui kasutada piisavalt pikkasi ja loogikaväliseid paroole, siis võtab brute force nii mõttetult kaua aega, et keegi ei viitsi jamada sellega. las sorgivad. niikaua, kui ssh port on kõigile nähtav ei kao laamendajad kuhugi. eraldi konto ssh kasutamise jaoks tundub natuke kummaline idee 8O kuna see on enamvähem sama ohtlik rünnakule kui iga teine kasutaja va. root
rohkem peaks vist mõtlema meili liikluse krüptimise ja võibolla ka https'i peale

tegu on hoiatusega.
Liiga palju on ssh-ga arvuteid, kus kasutajanimed ja aroolid liiga nõrgad.
Võin küll olla paranoiline, kuid sellegi poolest keelasin serveris ssh logimised ära kõigil, välja arvatud ühel eri kasutajal, kes on wheel grupis. root kasutaja logimise keelasin selle pärast ära, et kui see on juba keelatud, siis ei nähta eriti enam vaeva. Ja paroolid, mida kautan sisaldavad kõik suuri/väikeseid tähti ja numbreid.

[siim]

no dziises.. mida te põete.. kui kasutada piisavalt pikkasi ja loogikaväliseid paroole, siis võtab brute force nii mõttetult kaua aega, et keegi ei viitsi jamada sellega. las sorgivad. niikaua, kui ssh port on kõigile nähtav ei kao laamendajad kuhugi. eraldi konto ssh kasutamise jaoks tundub natuke kummaline idee 8O kuna see on enamvähem sama ohtlik rünnakule kui iga teine kasutaja va. root
rohkem peaks vist mõtlema meili liikluse krüptimise ja võibolla ka https'i peale

tegu on hoiatusega.
Liiga palju on ssh-ga arvuteid, kus kasutajanimed ja aroolid liiga nõrgad.
Võin küll olla paranoiline, kuid sellegi poolest keelasin serveris ssh logimised ära kõigil, välja arvatud ühel eri kasutajal, kes on wheel grupis. root kasutaja logimise keelasin selle pärast ära, et kui see on juba keelatud, siis ei nähta eriti enam vaeva. Ja paroolid, mida kautan sisaldavad kõik suuri/väikeseid tähti ja numbreid.

tubli
ja kui su paroolid on vähemalt 8 sümbolit pikad, siis võid seda pidada juba piisavalt turvaliseks. ütleme nii, et ründajal hakkab igav enne kui ta selle lahti murtud saab.

[einar]

tõsta ssh mingi teise pordi peale ja robotid enam ei skänni.

[indrek56]

telnetti ja ssh-d ongi kogu aeg skännitud. endal tehtud seleks eraldi kasutaja, kusjuures kasutajanimi on juba selline, et..
kuskil nägin lebamas skripti mis pärast iga vale passwordi sisestamist tegi järgmise passwordi vastuvõtmise 2x aeglasemaks vms...
peaks uuesti üles kaevama.

[illukas]

niikaua kui mina olen ssh-ga tegelenud on kogu aeg ssh-d pommitatud, samuti ftp-d ja httpd, aitab portide kinnikeeramine ja sshd turvalisemaks keeramisest..
Kunagi tegin ühe juhendi: http://trustix.org/wiki/index.php/Securing_SSH (mis wiki ümbertõstmisega on kellegi teise omandusse läinud)
Seega
*ssh teise pordi peale
*luba ainult teatud kasutajatel
*kui saad luba ainult teatud ip-lt
*fail passwd delay (või mis iganes see oli) 30 sekundit
*firewalli reeglid kontrolli üle ja kõik ülejaanud mittevajalikud pordid KINDLASTI drop
*paroolid vähemalt 6 sümbolit pikaks ning PEAVAD sisaldama nii numbreid kui ka SuUrI TäHtI
*kasuta authorized keys

Ja muud kunsti ei olegi, ei hakka keegi sind ründama, kui delay on 30 sekundit Võiksite uurida kaua läheb lahtikrüptimisega aega kui parool on 8 sümbolit pikk ning sisaldab kõikki tähti ja numreid va. üÜõÕöÖäÄ, see on ikka väääääääga kauuuaaaa

Pigem tasuks turvata httpdj aeriti php skripte- mille kaudu on palju palju lihtsam passwd kätte saada kui ssh (osadel lehtedel saab ka nii index.php?file=../../../../passwd kusjuures selliseid lehti on ikka väga palju mis teatud muutujana annavad sulle faile kätte)

kuskil nägin lebamas skripti mis pärast iga vale passwordi sisestamist tegi järgmise passwordi vastuvõtmise 2x aeglasemaks vms...
peaks uuesti üles kaevama.

Otsi seda jah, see on päris huvitav, kuigi peab erandi tegema miski ip pealt, mudu logid päev otsa pärast sisse...

[AlienDontBoogie]

kuidas ma san kindlaks teha kas mind rünnatakse

[illukas]

kuidas ma san kindlaks teha kas mind rünnatakse

Alustama peaks logidest, siis kontrollima uued failid üle, ning failide õigused, ning käimasolevad protsessid, järjekord on erinev, ning kui kahtlus on siis esimese asjana juhe seinast välja

Õnneks on oht suhtkoht väike kuna tcp pordid on kinni ja isegi mitte hea tahtmise juures ei anna mu ssh`d brute forceda

Meetodid on erinevad, kuid kõikke annab korraldada, see et pordid kinni on ei tähenda see seda et sshd- häkkerdada ei anna, egas brute force ei ole ainus moodus sinu paroole kätte saada- paroolid liiguvad ju üle neti kui sa neid sisestad seega siit sulle mõttelõng miks on võimatu täiesti kindlat süsteemi ehitada....

[AlienDontBoogie]

aga kuidas ma tean, millist logi vaadata ja et kas seal on ikka nii nagu peab

seletus for dummie palun

[sander85]

kui jookseb näiteks sshd ja tahad teada, kas keegi on üritanud sisse saada, siis 'cat /var/log/messages |grep ssh'

ja kui tulemuseks on midagi taolist:

Nov 2 05:59:46 localhost sshd[17209]: Failed password for root from 124.114.97.6 port 43963 ssh2
Nov 2 05:59:50 localhost sshd[17211]: Failed password for root from 124.114.97.6 port 44130 ssh2
Nov 2 05:59:54 localhost sshd[17213]: Failed password for root from 124.114.97.6 port 44297 ssh2
Nov 2 05:59:58 localhost sshd[17216]: Failed password for root from 124.114.97.6 port 44470 ssh2
Nov 2 06:00:03 localhost sshd[17218]: Failed password for root from 124.114.97.6 port 44640 ssh2
Nov 2 06:00:07 localhost sshd[17262]: Failed password for root from 124.114.97.6 port 44799 ssh2
Nov 2 06:00:11 localhost sshd[17264]: Failed password for root from 124.114.97.6 port 44967 ssh2
Nov 2 06:00:15 localhost sshd[17266]: Failed password for root from 124.114.97.6 port 45143 ssh2
Nov 2 06:00:19 localhost sshd[17269]: Failed password for root from 124.114.97.6 port 45308 ssh2
Nov 2 06:00:24 localhost sshd[17271]: Failed password for root from 124.114.97.6 port 45472 ssh2
Nov 2 06:00:28 localhost sshd[17273]: Failed password for root from 124.114.97.6 port 45635 ssh2
Nov 2 06:00:32 localhost sshd[17275]: Failed password for root from 124.114.97.6 port 45806 ssh2

siis tead, et sind on külastanud robot

kui nüüd veel kontrollida graafikult, mis sellel kellaajal toimus, siis võib märgata, et aktiivsus oli päris äge.. http://sander.struktuur.ee/mrtg/newconns.html

[illukas]

google on sinu sõber kuni surmani linuxi maailmas
http://www.google.ee/search?q=brute+for ... S:official

Ahjaa ühe asja unustasin ära kes veel kasutab sshd v1 siis on ikka väga viimane aeg sshv2 peale liikuda
Ja mitte lubama root loginseid- see on viimane lollus mida teha lasta.

[AlienDontBoogie]

kogu list sellises stiilis

Nov 2 02:34:34 linux sshd[4494]: Received signal 15; terminating.
Nov 2 07:26:37 linux sshd[4555]: Server listening on :: port 22.

[johnsmith]

Ma mõtlesin mis valemiga arvutada võimalikke salasõnade variante.....

Kui kasutada ainult väikseid tähti näiteks ja neljakohalist salasõna siis valem peaks olema selline: 32*32*32*32 ja kui lisada suured tähed siis 64*64*64*64
ja veel numbrid niisiis : 73*73*73*73 = 28398241 erinevat varianti ainult neljakohalises salasõnas.
Viiekohalise salasõna puhul on variante juba 2073071593 ja lisada saab veel ka spetsiaalsed märgid @& ja väsitamise meetodit kasutades tundub ulmelisena kuhugi kogemata sisse pääseda.
Muidugi kui salasõna on test või admin siis pole muidugi midagi teha........

Salasõna krüpteeritakse ju serveri avaliku võtmega enne kui üle võrgu saadetakse ja 1024 bitise võtme murdmiseks läheb vaja väga kaua aega ja ressursse.
Ma ei viitsi eriti muretseda selle pärast mul küll serveris rullib iga tund script mis saadab mulle meili kui logis on uued siselogimis katsed.
Vahepeal kasutasin tulemüüris ip aadressi piirangut aga siis avastasin, et ei saa ise vahest sisse.
Pealegi peab sissetungija ka juure salasõna teada saama, et midagi "kasulikku" ära teha.

[antik2]

Ma mõtlesin mis valemiga arvutada võimalikke salasõnade variante.....

Kui kasutada ainult väikseid tähti näiteks ja neljakohalist salasõna siis valem peaks olema selline: 32*32*32*32 ja kui lisada suured tähed siis 64*64*64*64
ja veel numbrid niisiis : 73*73*73*73 = 28398241 erinevat varianti ainult neljakohalises salasõnas.
Viiekohalise salasõna puhul on variante juba 2073071593 ja lisada saab veel ka spetsiaalsed märgid @& ja väsitamise meetodit kasutades tundub ulmelisena kuhugi kogemata sisse pääseda.
Muidugi kui salasõna on test või admin siis pole muidugi midagi teha........

Salasõna krüpteeritakse ju serveri avaliku võtmega enne kui üle võrgu saadetakse ja 1024 bitise võtme murdmiseks läheb vaja väga kaua aega ja ressursse.
Ma ei viitsi eriti muretseda selle pärast mul küll serveris rullib iga tund script mis saadab mulle meili kui logis on uued siselogimis katsed.
Vahepeal kasutasin tulemüüris ip aadressi piirangut aga siis avastasin, et ei saa ise vahest sisse.
Pealegi peab sissetungija ka juure salasõna teada saama, et midagi "kasulikku" ära teha.

Denyhosts peaks töötama ka Linuxitega.

[indrek]

Denyhosts peaks töötama ka Linuxitega.

Töötab jah. Endal kah see tööl peale seda, kui logid omal ajal aktiivset tegevust mu ssh serveri kallal näitama hakkasid. Denyhost võimaldab üsna mugavat konfigureerimist - näiteks kui keegi üritab mõne olematu kasutajana sisse logida, siis pane ta ip kohe kinni, olemasolevat luba viis korda proovida enne ip blokeerimist jne.

[johnsmith]

Ma ei olnud kuulnudki sellest, tundub asjalik soft olevat:
http://denyhosts.sourceforge.net/faq.html

Kui oleks suurem serveripark siis kindlasti kasutaks seda.
Praegu ma arvan, et raske salasõna ja "alloweduser" valik sshd.confis on piisav. Mul on enda kirjutatud skript mis parseb logifaile iga tund ja saadab mulle teate kui keegi on ragistanud serveri kallal.

[AlienDontBoogie]

aga ütelge kas mu edastatud infos on midagi hirmsat?