aanvallen root account

[sahi]

Ik heb ondertussen een tijd een vps draaien met DirectAdmin.

Gisteren zag ik een hele hoge load op mijn server en zag ik ik de console van mijn VPS leverancier dat er word geprobeerd het root wachtwoord te achterhalen.

Is er een manier om dit beter te beveiligen?


Ik heb in de sshd_config de PermitRootLoginparameter op No gezet nadat ik een andere rootuser heb gemaakt.
Ik heb de /etc/passwd file van bin/bash naar sbin/nologin gezet.

Ik heb niet veel ervaring met het beveiligen van een server, maar zou graag wat assistentie willen bij dit probleem.

Mijn server kan ik op dit moment ook niet bereiken en ook niet herstarten via het controlepaneel. Dit probleem heb ik doorgezet naar mijn leverancier (transip)

Dank

[Mark17]

Ssh op een andere poort zetten beperkt de vervuiling van je logs. Een betere optie is een firewall waarin je enkel toegang vanaf specifieke IPs toestaat voor ssh. Aangezien je niet aangeeft om welk besturingssysteem het gaat kan ik niet precies zeggen hoe je dit doet. Je geeft aan wel ssh te hebben en daardoor neem ik aan dat het niet om Windows gaat.

[uHost]

Daarnaast heeft DirectAdmin ook nog de Brute Force monitor. Met enkele custom scripts kun je vrij eenvoudig IP adressen waarvandaan brute force aanvallen komen automatisch blokkeren. De custom script kan ik je niet zomaar geven daar dat weer afhankelijk is van welke firewall je gebruikt. Ook zonder firewall zou je IP adressen kunnen blokkeren (bijvoorbeeld met null routes) maar ik zou niet weten waarom je geen firewall zou willen draaien.

Mocht je dit niet allemaal zelf willen doen zou je ervoor kunnen kiezen om dit uit te besteden. Plaats daarvoor een bericht in de aanbiedingen gezocht forum zodat we aanbiedingen kunnen doen.

[onthenetgames]

Behalve de reeds gegeven tips (die betrekking hebben op het voorkomen van toegang tot de server) kun je ook two-factor-authenticatie overwegen. Als dan toch een wachtwoord goed ingevuld wordt, is er nog geen ongeautoriseerde toegang verkregen tot je server. Zelf heb ik positieve ervaringen met de dienst van Duo Security (https://www.duosecurity.com/); de installatie is relatief eenvoudig en voor enkele gebruikers is het zelfs gratis. Maar uiteraard zijn er diverse aanbieders.

[easy2host]

Je hebt ook programma's zoals fail2ban installeren waarmee je een aantal zaken kunt monitoren zoals foute aanmeldingen op ftp, ssh, pop etc. Fail2ban bant vervolgens het IP in de firewall. werkt op basis van iptables. Als je de mogelijkheid hebt om SSH alleen toe te staan op bepaalde ip adressen zou ik dat ook zeker hanteren.

toevoeging
Meer info: http://www.fail2ban.org/wiki/index.php/Main_Page