"МОЖЛИВО ВРУШИТИ НАЗАД!" В / var / log / secure - що це означає?

У мене вікно CentOS 5.x працює на платформі VPS. Мій хост VPS неправильно інтерпретував запит про підтримку, який я мав про підключення, і ефективно очистив деякі правила iptables. Це призвело до прослуховування ssh на стандартному порту та визнання тестів на з'єднання портів. Дратівливий.

Хороша новина полягає в тому, що мені потрібні авторизовані ключі SSH. Наскільки я можу сказати, я не думаю, що було жодного успішного порушення. Я все ще дуже стурбований тим, що я бачу в / var / log / secure, хоча:

Apr 10 06:39:27 echo sshd[22297]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:27 echo sshd[22298]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:31 echo sshd[22324]: Invalid user edu1 from 222.237.78.139
Apr 10 06:39:31 echo sshd[22324]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:31 echo sshd[22330]: input_userauth_request: invalid user edu1
Apr 10 13:39:31 echo sshd[22330]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:35 echo sshd[22336]: Invalid user test1 from 222.237.78.139
Apr 10 06:39:35 echo sshd[22336]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:35 echo sshd[22338]: input_userauth_request: invalid user test1
Apr 10 13:39:35 echo sshd[22338]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:39 echo sshd[22377]: Invalid user test from 222.237.78.139
Apr 10 06:39:39 echo sshd[22377]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:39 echo sshd[22378]: input_userauth_request: invalid user test
Apr 10 13:39:39 echo sshd[22378]: Received disconnect from 222.237.78.139: 11: Bye Bye

Що саме означає "МОЖЛИВА НАРУШЕННЯ НАПРЯМИ"? Щоб це було успішно? Або що IP не сподобався, від якого надходив запит?

На жаль, це зараз дуже поширене явище. Це автоматизована атака на SSH, яка використовує 'загальні' імена користувачів для спроби проникнення у вашу систему. Повідомлення означає саме те, що воно говорить, це не означає, що вас зламали, просто те, що хтось намагався.

Частина "МОЖЛИВО ВЗАЄМО ЗАРАЗ" конкретно пов'язана з частиною "Невдале відображення перевірки відображення цьогоддрінфо". Це означає, що особа, яка з'єднувалась, не мала правильно налаштовувати DNS вперед та назад. Це досить часто, особливо для підключень провайдерів, звідки, ймовірно, походила «атака».

Не пов’язаний із повідомленням "МОЖЛИВИЙ ЗАВЕРШУВАННЯ АТЕМПТИ", людина насправді намагається втрутитися у використання загальних імен користувачів та паролів. Не використовуйте прості паролі для SSH; насправді найкраща ідея взагалі вимкнути паролі та використовувати лише SSH-ключі.

"Що саме означає" МОЖЛИВА ЗАПАЛЬНІСТЬ ","

Це означає, що власник netblock не оновлював запис PTR для статичного IP в межах їхнього діапазону, і зазначений запис PTR застарів, АБО провайдер не встановлює належні зворотні записи для своїх динамічних клієнтів IP. Це дуже часто, навіть для великих провайдерів.

Ви отримуєте msg у своєму журналі, тому що хтось із IP-адреси з неправильними записами PTR (через одну з причин, наведених вище) намагається використовувати загальні імена користувачів для того, щоб спробувати SSH на вашому сервері (можливо, атака грубої сили чи, можливо, чесна помилка ).

Щоб вимкнути ці сповіщення, у вас є два варіанти:

1) Якщо у вас статичний IP-адрес , додайте зворотне відображення у файл / etc / hosts (докладнішу інформацію див. Тут ):

10.10.10.10 server.remotehost.com

2) Якщо у вас є динамічний IP-адрес і ви дуже хочете, щоб ці сповіщення припинилися, коментуйте "GSSAPIAаутентифікацію так" у вашому / etc / ssh / sshd_config файлі.

Ви можете зробити свої журнали легшими для читання та перевірки, вимкнувши зворотні пошукові вікна в sshd_config (UseDNS немає). Це дозволить запобігти sshd записувати "шумні" рядки, що містять "МОЖЛИВО ВЗАЙМУВАННЯ АТТЕМПТ", а також зосередитись на трохи цікавіших рядках, що містять "Недійсний користувач USER від IPADDRESS".

Потрібно не вдалий логін, а те, що в ньому написано "можливий" і "спроба".

Якийсь поганий хлопчик чи сценарій малюк, надсилає вам створений трафік із помилковим IP-кодом.

Ви можете додати обмеження походження IP до своїх ключів SSH та спробувати щось на кшталт fail2ban.