お知らせ

  • 利用規約を守って投稿してください。また、よくある質問および投稿の手引きも参照してください。
  • メッセージの投稿にはアカウントが必要です。未登録の方は、ユーザ登録ページからアカウントを作成することができます。

#1 2010-08-18 20:17:38

kokawa2003
メンバ
From: Kepler-10c
登録日: 2009-05-03

sshについて

家に一台UBUNTUマシンがありまして、これをSSHサーバーにして会社からアクセスして使っているのですが、
最近auth.logを見てると

Aug 18 19:55:55 XXXX sshd[24156]: Invalid user koo from 180.8.XXX.XXX
Aug 18 19:55:55 XXXX sshd[24156]: pam_unix(sshd:auth): check pass; user unknown
Aug 18 19:55:55 XXXX sshd[24156]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=?????????????
Aug 18 19:55:55 XXXX sshd[24156]: pam_winbind(sshd:auth): getting password (0x00000388)
Aug 18 19:55:55 XXXX sshd[24156]: pam_winbind(sshd:auth): pam_get_item returned a password
Aug 18 19:55:57 XXXX sshd[24156]: Failed password for invalid user koo from 180.8.XXX.XXX port 46081 ssh2
Aug 18 19:56:17 XXXX sshd[24596]: Invalid user meitoku from 180.8.XXX.XXX
Aug 18 19:56:17 XXXX sshd[24596]: pam_unix(sshd:auth): check pass; user unknown
Aug 18 19:56:17 XXXX sshd[24596]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=????????????? 
Aug 18 19:56:17 XXXX sshd[24596]: pam_winbind(sshd:auth): getting password (0x00000388)
Aug 18 19:56:17 XXXX sshd[24596]: pam_winbind(sshd:auth): pam_get_item returned a password
Aug 18 19:56:20 XXXX sshd[24596]: Failed password for invalid user meitoku from 180.8.XXX.XXX port 47104 ssh2
みたいな感じで一秒おきにアタックされているみたいなんですが

sshサーバーは鍵交換方式なんで大丈夫だとはおもっていますが
気持ち悪いので、同ーIPからのアクセスは3回ぐらいで弾くようにしたいのですが
どういうふうにしたらいいかわかりません。
いい弾きかたを教えてください。

オフライン

 

#2 2010-08-18 22:10:36

gontomo
メンバ
From: 北海道
登録日: 2010-02-17

Re: sshについて

アクセス元が会社からだけに特定できるのであれば、会社からのみ許可するとするのがベターですね。

アクセス元が不定なのであれば、denyhostsオススメです。
プラスして、ufwなりiptablesなりで、30秒以内に3回以上のアタックがあった場合にブロックするとかの指定をすると良いでしょう。

オフライン

 

#3 2010-08-18 23:05:13

kokawa2003
メンバ
From: Kepler-10c
登録日: 2009-05-03

Re: sshについて

ありがとうございます。
会社からのみとは限定したくないので(時々出張あるので)
denyhostsでがんばってみます。APTで落とせるみたいですし

オフライン

 

#4 2010-08-19 09:39:15

kokawa2003
メンバ
From: Kepler-10c
登録日: 2009-05-03

Re: sshについて

DenyHostsで対策しようと思っていたんですが、
http://www.itmedia.co.jp/help/tips/linux/l0541.html
のような方法を知りました。
/etc/ssh/sshd_configに
MaxStartups 2:80:5 
のようなMAX制限をつける方法です。
とりあえずこれで今は十分です。簡単ですし
これでさらにログが毎日数行でるようであればDenyHostsで対策します。

オフライン

 

#5 2010-08-19 10:03:56

gontomo
メンバ
From: 北海道
登録日: 2010-02-17

Re: sshについて

MaxStartupsで確かに同一ホストからの連続した接続要求は制限できるんですが、SSHポートへのブルートフォースはあちこちからくるので、おそらくログへの出力行数は減ると思いますが、アタック回数は減らないと思います。

やはり、denyhostsやiptables/ufwと併用して接続要求すら到達させないというのが基本かと。
ログ以外でアタックの影響が出るところは当面はないと思いますが、いずれ暇を見て対応されることをおすすめします。

オフライン

 

Board footer

Powered by FluxBB