Is dit een hacker of niet ? en hoe te blocken ?

[gerwinhummel]

Nov 13 11:06:01 web02 sshd[7423]: pam_unix(sshd:auth): check pass; user unknown
Nov 13 11:06:01 web02 sshd[7423]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=***************
Nov 13 11:06:04 web02 sshd[7423]: Failed password for invalid user demo from ************* port 8802 ssh2
Nov 13 11:06:07 web02 sshd[7430]: Invalid user demo from ************

Kom laatste dagen deze meldingen tegen vanaf 4 verschillende ips. Welke na een tracert in een dood spoor lopen bij een router in de US. Is dit nou een poging tot inbraak ? want ik zie in de logs namelijk welk de volgende melding zinds vandaag langskomen vanaf een andere ip. Deze komt uit op een server in DE en daar staat een russiche site op. En daar staat duidelijk achter dat het een mogelijke poging tot inbraak is?

Nov 13 18:15:56 web02 sshd[24646]: Failed password for root from ********* port 52635 ssh2
Nov 13 18:15:57 web02 sshd[24674]: Address ********* maps to ********* , but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Nov 13 18:15:57 web02 sshd[24674]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=********* user=root


Is het afdoende om deze gebruikers gewoon te droppen in de iptables ? of moet ik meer voorzorgmaatregelen nemen ?

iptables -I INPUT -s ********* -j DROP

[oehTie]

als het een enkele keer gebeurd, niet druk om maken. Gebeurd het vaker dan zou je de ip's kunnen blokkeren. Echter als het iedere keer verschillende ip's zijn, (ook ander subnet?) wordt dat wat lastig.

Zojuist hier wel een ip geblokkeerd. Maar die was dan ook een keer of 10000 bezig met een foutief wachtwoord dus die is wat duidelijker dat het een hackpoging is.

[ichosting]

Dit is dagelijkse kost :)

Je zult dit erg vaak zien. Aan te raden is om bijvoorbeeld CSF te installeren of APF in combinatie met BFD (bruteforce detect). Die regelen automatisch dit soort zaken voor je. Herhaaldelijke pogingen worden dan automatisch opgenomen in de firewall.

CSF is een aanrader aangezien die ook zelf om de zoveel tijd de blocklist weer vrijgeeft en ook een tijdelijke ban heeft.

[pierce]

SSH op een andere poort laten draaien lost het probleem ook grotendeels op.

[Blacky]

Combinatie van SSH op een andere poort en plain pass uitschakelen en ssh keys gebruiken, dan wordt het al flink lastig voor ze, ben je ook van die bruteforces af grotendeels.

[dreamhost_nl]

Voordeel van CSF/LFD (APF/BFD is nu verouderd) is dat het automatisch het IP-adres blokkeert indien er meerdere foutieve loginpogingen mee zijn en je veel zelf kunt instellen buiten (het ietwat lastige) iptables om.

[marcussmit]

denyhosts doet hetzelfde, maar dan niet in iptables maar in hosts.deny. zit standaard in de redhat-repositories.

[gerwinhummel]

Thanks voor de tips ben nu bezig met CSF even zien hoe ik dat moet instellen want de eerste keer was de website onbereikbaar toen ik hem aanzette maar moet goed komen :)

[ichosting]

Thanks voor de tips ben nu bezig met CSF even zien hoe ik dat moet instellen want de eerste keer was de website onbereikbaar toen ik hem aanzette maar moet goed komen :)

Denk wel aan om de juiste poorten etc open te zetten he. Niet met de standaard installatie gaan werken ;)

[Bart L]

De standaard config van CSF heeft tegenwoordig wat betere default waarden, opletten blijft natuurlijk nodig, maar 2222 e.d. staan er nu default in

[Pur]

denyhosts doet hetzelfde, maar dan niet in iptables maar in hosts.deny. zit standaard in de redhat-repositories.

Is niet helemaal hetzelfde. CSF kan automatisch blokkeren afhankelijk van aantal attempts/x tijd + perm ban geheel automagisch.

hosts.deny / hosts.allow is nogal statisch.

[edge]

Fail2ban is ook een leuke optie.

[gerwinhummel]

Even reactie van mijn kant. Ik heb nu een tijdje CSF draaien en zindsdien loopt de server stukken beter naar mijn gevoel en volgens de logs ook ;). Bedankt voor de tips het was even wat uitzoek werk maar alles werkt nu weer naar volle tevredenheid.

[dfoxx]

Configserver heeft meer diensten/software welke de moeite waard zijn om eens een kijkje naar te nemen. Ik heb er goede ervaringen mee.