attacco ssh?

[eraclito]

Ciao,

su un webserver con suse 9.3 ho notato nei log una serie di tentativi di connessione ssh fatto con nomi "standard" (webmaster, apache, ftp, test01)...

provavano ad entare sulla machina?

c'è qualche cosa che posso fare per evitare un patatrack?

eraclito

[Meskalamdug]

Mettere password cazzute(lunghe piene di caratteri speciali e numeri)
e filtrare la porta ssh,in modo che accetti solo determinati ip,si puo' fare con iptables.

[eraclito]

Originariamente inviato da Meskalamdug
Mettere password cazzute(lunghe piene di caratteri speciali e numeri)
e filtrare la porta ssh,in modo che accetti solo determinati ip,si puo' fare con iptables.

le psw sono cazzute (con numeri e maiuscole sparse)
per filtrare ho bisogno di connetermi anche da casa (dove ho un ip dinamico) posso dargli anche una range?

altra cosa, ho provato a fare una scansione porte e mi risulta no aperte la 80 (www) la 22 (ssh) e la 800 (sconosciuta)

sapete dirmi cos'è la 800? e come posso chiuderla?

eraclito

[Outermarker]

Originariamente inviato da eraclito
su un webserver con suse 9.3 ho notato nei log una serie di tentativi di connessione ssh fatto con nomi "standard" (webmaster, apache, ftp, test01)...

a me succede giornalmente con un server ftp. E' inevitabile: gli pseudo lamer con qualche scanner di rete mettono dentro un range di IP finché non trovano il tuo. Naturlamente, trovando porte apere e relativi servizi in ascolto, provano ad entrare. Di solito non sono pericolosi, se hai una password degna di questo nome; anzi, è interessante analizzare i log e vedere quanta fantasia hanno usato per cercare di indovinare la password: aiuta ad acquisire esperienza su come si impostano username e password "sicuri"

Ah, per la porta 800 guarda aui
http://www.iana.org/assignments/port-numbers

[Meskalamdug]

Originariamente inviato da eraclito
le psw sono cazzute (con numeri e maiuscole sparse)
per filtrare ho bisogno di connetermi anche da casa (dove ho un ip dinamico) posso dargli anche una range?

altra cosa, ho provato a fare una scansione porte e mi risulta no aperte la 80 (www) la 22 (ssh) e la 800 (sconosciuta)

sapete dirmi cos'è la 800? e come posso chiuderla?

eraclito

Sempre con iptables

iptables -A INPUT -p tcp --dport 800 -j DROP
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 800 -j ACCEPT

cmq viene usata da

mdbs_daemon 800/tcp

Che sinceramente non so cosa sia...

[Meskalamdug]

A che livello di sicurezza giudicate password simili?

@power123P2Rowler!

[l.golinelli]

Direi ottima

[stai_tranquillo]

Originariamente inviato da Meskalamdug
A che livello di sicurezza giudicate password simili?

@power123P2Rowler!

perfetta, sia come lunghezza che come range di caratteri..

ma ora che cel'hai detta non più

[eraclito]

in conclusione se ho una buona psw non avrò i siux che mi scorazzano per l'hd questa notte?

[stai_tranquillo]

Originariamente inviato da eraclito
in conclusione se ho una buona psw non avrò i siux che mi scorazzano per l'hd questa notte?

bhe, quello è un passo fondamentale per evitare che i bambini provino a bruteforzare le tue pass.. il passaggio successivo è bloccargli tutta la classe C dell' IP di provenienza con iptables per le connessioni ssh (ovviamente senza reject, usa drop così aspettano il timeout ), sempre che non ce ne siano troppi da gestire ..

poi da qui a fare un server sicuro "a prova di cracker" ci sono molte altre cose da tenere in considerazione, ma il più delle volte non è necessario, a meno che non abbia cose importanti nel server che fanno gola a qualcuno capace.