LOG.. Stanno cercando di entrare sul mio server?!?

pistodj · Apprentice Joined: 26 Jan 2005 Posts: 229

La cosa che su due piedi ti posso consigliare è di usare una password di almeno 8 caratteri oltre che afanumerica...
cmq queglia attacchi solitamente sono frequenti anche nei miei server e sono automatici (lanciati da script)di conseguenza provano gli user più classici...
verifica in'oltre che il tuo firewall sia ben configurato e che ti sia veramente indispensabile raggiungerlo da qualsiasi ip... altrimenti ti conviene assicurare l'entrata di quel servizio solo da un determinato ip.
cmq prova a fare una ricerca nel forum dovresti trovare già altro materiale che ti potrà essere d'aiuto!!

neryo · Posted: Thu Apr 28, 2005 4:55 pm Post subject:

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

inizia con il mettere ssh su porte non standard e magari utilizza una delle verie implementazioni di knock-knock!
ciao
_________________
while True:Gentoo()

ataraxic · n00b Joined: 26 Sep 2004 Posts: 74 Location: Brescia

...e perchè non "tagliare la testa al toro" disabilitando l'autenticazione via password e abilitare un'autenticazione con chiave privata?! :wink:

Anche io trovo spesso nei log questi tentativi, ma non mi preoccupano più di tanto visto che vengono chiusi in automatico da sshd nel momento che l'autenticazione avviene via user-password. Io uso una chiave privata che porto sempre con me su una pendrive usb e mi sento "piuttosto" tranquillo!!

Trovi tutti i dettagli nella guida alla sicurezza su gentoo.it
_________________
Le religioni sono come le lucciole: per brillare hanno bisogno del buio

neryo · Posted: Thu Apr 28, 2005 5:09 pm Post subject:

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

si e no...
questi attacchi automatizzati non scannano tutte le porte...
per questioni di economia di tempo scannano le porte di default.

poi con knock-knock la tua porta risulta chiusa

ciao
_________________
while True:Gentoo()

neryo · Posted: Thu Apr 28, 2005 5:16 pm Post subject:

Cazzantonio · Posted: Thu Apr 28, 2005 5:32 pm Post subject:

intanto, vista l'insistenza, metterei 219.117.205.40 in /etc/hosts.deny per non avere più seccature di questo tipo...
se vuoi ti posso postare la mia lista di /etc/hosts.deny che si è arricchita nel tempo di tutti quelli che ho beccato nei miei log (e che non ci dovevano essere :wink:

)
_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

z3n0 · Posted: Thu Apr 28, 2005 5:44 pm Post subject:

a questo punto xkè non fare una mega lista e renderla disponibile a tutti?

_________________
AMD Athlon 64 Winchester 939 3200+, Thermaltake Venus 12,Asus a8v Deluxe, 2*512 A-Data Vitesta Ddr 500 PC4000, Western Digital Raptor 36.7GB 10000rpm SATA 8mb, Maxtor 160gb SATA 8mb, Nvidia GeForce 4 MX440 64mb..

neryo · Posted: Thu Apr 28, 2005 5:52 pm Post subject:

.:chrome:. · Posted: Thu Apr 28, 2005 6:53 pm Post subject:

hellraiser · Posted: Thu Apr 28, 2005 7:09 pm Post subject:

neryo · Posted: Thu Apr 28, 2005 7:21 pm Post subject:

Taglia · Apprentice Joined: 05 Nov 2004 Posts: 244

Così a vedere dal log non sembra certo un tentativo molto furbo di passare inosservati ... Sarà un dictionary attack ... ma se uno usa una password alfanumerica totalmente random secondo me ha praticamente azzerato il rischio di soccombere a questo tipo di attacco! Oppure utilizzi una concatenazione di parole che hanno significato solo per te e sei a posto.
_________________
Taglia
./ do NOT click ...
./ Mentecritica: Non esistono questioni di principio

neryo · Posted: Thu Apr 28, 2005 7:33 pm Post subject:

.:chrome:. · Posted: Thu Apr 28, 2005 7:38 pm Post subject:

otaku · Guru Joined: 16 Dec 2004 Posts: 428 Location: Rho (MI)

neryo · Posted: Thu Apr 28, 2005 7:41 pm Post subject:

.:chrome:. · Posted: Thu Apr 28, 2005 7:45 pm Post subject:

Little Cash · Posted: Fri Apr 29, 2005 2:20 am Post subject:

Al di la di tutto, ti consiglio di mailare l'admin di quella box, al 90% e' una hacked-box e il sysadmin neanche sa di essere stato bucato
_________________
D: Perche' usi linux?
R: Perche' mi piace dover riavviare solo per un kernel upgrade

- badguy@IRCNet -

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

@k.gothmog

il fatto di spostare la porta dalla 22 ad una + alta e' indiscutibilmente un vantaggio.
Al 99% dei casi la macchina non viene scannata sulle 2^16 porte.
E' piu' probabile che scannino solo un determinato set di porte e poi si spostino su altre macchine.

..senza contare il fatto che gia' cosi' tagli una buona fetta di lamerozzi...
...e senza contare che con un firewall ben scritto lo scan della tua macchina su 2^16 porte puo' risultare estremamente lento!

Gia' questi 2 aspetti pongono a favore di questo piccolo e semplice accorgimento che poco costa.

Ribadisco che la miglior cosa e' far figurare la porta chiusa!
Anche sulla 22 se si vuole...

E la si apre da remoto solo quando serve....

EDIT: da verifiche effettuate su alcuni firewall con IP pub... nel giro di un anno ho ricevuto molte meno visite su ssh... dopo aver spostato la porta.
_________________
while True:Gentoo()

.:chrome:. · Posted: Fri Apr 29, 2005 7:12 am Post subject:

neryo · Posted: Fri Apr 29, 2005 7:40 am Post subject:

mrfree · Posted: Fri Apr 29, 2005 7:45 am Post subject: