機器人一直 try ssh 登入，該怎樣處理會比較好？

[timeriver]

我想這個問題應該大家都會遇到吧

我手邊兩台 server 一直以來都會有機器人在 try ssh 帳號密碼
一般來說該怎樣處理會比較好呢？

我目前的作法就是密碼換長一點的密碼
這是不是唯一的方法呢…………

[neio]

能夠僅開放ssh 給特定ip 嗎？
或是try ssh 的來源ip 是否固定於某一區段？
這是我能想到的比較簡單直接的解決方法給您參考。

[CoolBSD]

我想了一個方法 應該可以做到
如果同一個IP try了幾次密碼都是錯的之後
就用iptable封鎖他一陣子
不知到這樣的策略可不可行

[blc]

$iptables -A INPUT -p tcp -m state --state ESTABLISHED --tcp-flags FIN,ACK FIN,ACK --dport 22 -m recent --name sshattack --set
$iptables -A INPUT -p tcp -m state --state ESTABLISHED --tcp-flags RST RST --dport 22 -m recent --name sshattack --set
$iptables -A INPUT -p tcp --syn --dport 22 -m recent --name sshattack --set
$iptables -A INPUT -m recent --name sshattack --rcheck --seconds 60 --hitcount 4 -j DROP
$iptables -A INPUT -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -m limit --limit 4/minute -j LOG --log-prefix 'SSH attack: '
$iptables -A INPUT -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -j DROP

$iptables -A INPUT --protocol tcp --dport 22 -j ACCEPT

大概是這樣…
這是我在用的，60秒內超過3(還是4？)個封包就斷4分鐘，不過這是很久以前從網路上抄來的，可能有些不合邏輯的地方，用起來是還過得去啦。

另一個方法是用knockd，不過不是很方便就是了…

[FourDollars]

前人 post 過的 link
http://shorewall.net/PortKnocking.html
from
viewtopic.php?t=8257

[Tetralet]

這是另一個可行方案：使用 RSA 來登入 SSH！，請參考。

[notme]

CoolBSD 兄想的跟我一樣，我最近剛好遇到 postfix 被 spammers 猛塞信件，雖然 postfix 都能依很多的判斷方法擋下大部份的信件，但是數量太多的連線，卻佔滿了我的 smtpd sessions ， 依 postfix iptables 到 google 找了一下，發現了一個好用的軟體 fail2ban ，它可以監視 log 檔，並用 regex 來找出不正常的連線紀錄，然後用 iptables 把那些 ip 擋下來。 我個人認為它最大的優點是可以直接省下 tcp sessions 的資源，在最初的 tcp 連線建立前，就把它給擋掉，而且，要是不想用 iptables 來擋，它也能改用 TCP Wrapper 的方式。

我在使用後，有約略寫了一篇筆記，裏頭有些注意事項也可供想使用的人參考。 可惡的 SPAM Senders part2 : http://54061.blogspot.com/2007/11/spam-senders-part2.html

雖然我的應用是針對 postfix ，但是因為設定過程都是一樣的，應該還是能幫上忙。

[ddd]

我想這個問題應該大家都會遇到吧

我手邊兩台 server 一直以來都會有機器人在 try ssh 帳號密碼
一般來說該怎樣處理會比較好呢？

我目前的作法就是密碼換長一點的密碼
這是不是唯一的方法呢…………

防止暴力攻擊 Linux 終極絕招
作者: A-Lang 日期: 2007-08-24 21:28
http://itblog.blogdns.net/index.php?load=read&id=96