Не дозволяйте SSH рекламувати свій номер версії

Сервер, яким я користуюся, є Ubuntu 10.10. Для забезпечення безпеки я хочу відредагувати банер, який сервер надсилає клієнту.

Якщо я звертаюся по телефону до свого хоста на порт 22, він повідомляє мені точну версію SSH, яку я запускаю (SSH-2.0-OpenSSH_5.3p1 Debian-3ubuntu4). Така ж ситуація і з MySQL та Cyrus.

Будь-які пропозиції? Принаймні для SSH?

Дякую

Практично повсюдно ідентифікаційні банери є частиною складеного коду і не мають параметрів конфігурації для їх зміни чи придушення. Вам доведеться перекомпілювати ці програми.

Хоча приховано важко приховати номер версії вашого демона SSH, ви можете легко приховати версію Linux (Debian-3ubuntu4)

Додайте наступний рядок до /etc/ssh/sshd_config

DebianBanner no

І перезапустіть свій демон SSH: /etc/init.d/ssh restartабоservice ssh restart

Приховування тих не захистить ваш сервер. Існує ще багато способів відбитків пальців того, що працює у вашій системі. Зокрема, для SSH оголошення про версію є частиною протоколу та є обов'язковим.

http://www.snailbook.com/faq/version-string.auto.html

Я впевнений, що ви фактично не можете змінити оголошення про версію.

Найкращі способи захистити sshd - це:

1. Змініть номер порту за замовчуванням.
2. Заборонити кореневі логотипи.
3. Примусовий протокол 2 (якщо припустити, що це не робиться за замовчуванням).
4. Білий список серверів, до яких дозволено SSH.

Перші три можна зробити, змінивши / etc / sshd_config

Четверта залежить від того, яке програмне забезпечення брандмауера ви використовуєте.

Як було сказано вище, зміна номера версії є

1. Важко зробити
2. Безпека через незрозумілість
3. Не гнучка

Що я пропоную - це реалізація Port Knocking. Це досить проста техніка, щоб приховати все, що працює на вашому сервері.

Ось хороша реалізація: http://www.zeroflux.org/projects/knock

Ось як я реалізував це на своїх серверах (інших номерах), щоб відкрити SSH лише тим людям, які знають "секретний стук":

[openSSH]
    sequence = 300,4000,32
    seq_timeout = 5
    command = /opencloseport.sh %IP% 2305
    tcpflags = syn

Це дасть вікно на 5 секунд, в якому 3 SYN-пакети потрібно приймати в потрібному порядку. Вибирайте порти, які знаходяться далеко один від одного і не є послідовними. Таким чином, портал-сканер не може відкрити порт випадково. Ці порти не потрібно відкривати iptables.

Сценарій, який я називаю, саме цей. Він відкриває певний порт на 5 секунд для передачі IP-пакетів SYN.

#!/bin/bash
/sbin/iptables -I INPUT -s $1 -p tcp --dport $2  -j ACCEPT
sleep 5
/sbin/iptables -D INPUT -s $1 -p tcp --dport $2  -j ACCEPT

Відправити SYN-пакети може бути справжнім болем, тому я використовую сценарій для підключення до SSH моїх серверів:

#!/bin/bash
knock $1 $2
knock $1 $3
knock $1 $4
ssh $5@$1 -p $6

(Цілком очевидно, що тут відбувається ...)

Після встановлення з'єднання порт можна закрити. Підказка: Використовуйте аутентифікацію ключа. Інакше вам потрібно дуже швидко ввести свій пароль.