Se avete una macchina con una porta aperta come ssh verso internet avrete notato una quantità spropositata di accessi tentati e falliti.
Ci sono tantissimi malware che provano ad intrufolarsi in computer mal configurati con password deboli. Dando per scontato che vi serva mantenere la porta aperta la prima e più utile soluzione è abilitare esclusivamente l’accesso via chiave pubblica con PubkeyAuthentication yes in sshd_config.
Per evitare di dover scorrere inutilmente log chilometrici potreste anche limitare le connessioni. Esistono software come fail2ban o denyhosts, ma potete implementare tutto usando semplicemente iptables.
Ci sono alcuni moduli che potreste usare, il più semplicemente è probabilmente “recent”, anche se potreste provare a giocare con hashlimit o persino con geoip. Quest’ultimo filtra le connessioni in base agli stati.
Il vero colpo di grazia per questi poveracci che setacciano la rete è il tarpitting. Si tratta in pratica di tenere in ostaggio la connessione del malcapitato senza consentire alcun trasferimento di dati e rallentando il loro “lavoro”. Potete trovare il tarpitting in patch-o-matic.
iptables -N autoban
iptables -I INPUT -p TCP --dport 22 -j autoban
iptables -A autoban -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
iptables -A autoban -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 2 --rttl --name SSH -j DROP
ossblog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, chi siamo
© 2004-2011 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Ossblog.it contattare la concessionaria esclusiva Populis Engage.
Anon
08 mar 2010 - 12:48 - #1Lpt on fire! ti voglio bene, per fortuna ci sei tu che posti roba interessante da queste parti.
Marco Bertorello
08 mar 2010 - 13:38 - #2denyhosts ;)
ugaciaka
08 mar 2010 - 13:58 - #3anche io uso denyhosts ma per pigrizia ^__^
Conad il Rabarbaro
08 mar 2010 - 14:02 - #4Io uso fail2ban, che fa una cosa simile.
Kjll
08 mar 2010 - 14:04 - #5@ugaciaka:
Marco è il mantainer di denyhosts per Debian ;)
lastfeel
08 mar 2010 - 17:16 - #6molto vecchia come cosa :-).quindi non da news
linuser
09 mar 2010 - 16:08 - #7a dirla tutta esiste anche xtables-addons che a differenza di patch-o-matic non richiede nè la ricompilazione del kernel , nè di iptables