
Ubuntu日本語フォーラム

ログインしていません。
家に一台UBUNTUマシンがありまして、これをSSHサーバーにして会社からアクセスして使っているのですが、
最近auth.logを見てると
Aug 18 19:55:55 XXXX sshd[24156]: Invalid user koo from 180.8.XXX.XXX
Aug 18 19:55:55 XXXX sshd[24156]: pam_unix(sshd:auth): check pass; user unknown
Aug 18 19:55:55 XXXX sshd[24156]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=?????????????
Aug 18 19:55:55 XXXX sshd[24156]: pam_winbind(sshd:auth): getting password (0x00000388)
Aug 18 19:55:55 XXXX sshd[24156]: pam_winbind(sshd:auth): pam_get_item returned a password
Aug 18 19:55:57 XXXX sshd[24156]: Failed password for invalid user koo from 180.8.XXX.XXX port 46081 ssh2
Aug 18 19:56:17 XXXX sshd[24596]: Invalid user meitoku from 180.8.XXX.XXX
Aug 18 19:56:17 XXXX sshd[24596]: pam_unix(sshd:auth): check pass; user unknown
Aug 18 19:56:17 XXXX sshd[24596]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=?????????????
Aug 18 19:56:17 XXXX sshd[24596]: pam_winbind(sshd:auth): getting password (0x00000388)
Aug 18 19:56:17 XXXX sshd[24596]: pam_winbind(sshd:auth): pam_get_item returned a password
Aug 18 19:56:20 XXXX sshd[24596]: Failed password for invalid user meitoku from 180.8.XXX.XXX port 47104 ssh2
みたいな感じで一秒おきにアタックされているみたいなんですが
sshサーバーは鍵交換方式なんで大丈夫だとはおもっていますが
気持ち悪いので、同ーIPからのアクセスは3回ぐらいで弾くようにしたいのですが
どういうふうにしたらいいかわかりません。
いい弾きかたを教えてください。
オフライン
ありがとうございます。
会社からのみとは限定したくないので(時々出張あるので)
denyhostsでがんばってみます。APTで落とせるみたいですし
オフライン
DenyHostsで対策しようと思っていたんですが、
http://www.itmedia.co.jp/help/tips/linux/l0541.html
のような方法を知りました。
/etc/ssh/sshd_configに
MaxStartups 2:80:5
のようなMAX制限をつける方法です。
とりあえずこれで今は十分です。簡単ですし
これでさらにログが毎日数行でるようであればDenyHostsで対策します。
オフライン
MaxStartupsで確かに同一ホストからの連続した接続要求は制限できるんですが、SSHポートへのブルートフォースはあちこちからくるので、おそらくログへの出力行数は減ると思いますが、アタック回数は減らないと思います。
やはり、denyhostsやiptables/ufwと併用して接続要求すら到達させないというのが基本かと。
ログ以外でアタックの影響が出るところは当面はないと思いますが、いずれ暇を見て対応されることをおすすめします。
オフライン