[OT] attacchi ripetuti via ssh

dboogieman · Apprentice Joined: 02 Oct 2004 Posts: 197

Ciao a tutti concordo con la difficolta' di poter prendere risoluzioni a tentativi "robot" di login a daemon ssh...a maggior ragione se da whois del IP sorgente magari rispondono IP asiatici (premetto che non ho nessun genere di pregiudizo geografico io per primo infatti mi reputo figlio della terra...e poi l'uomo che inventato i confini geografici..).
In questi casi io dal whois rilevo il possibile indirizzo di abuse, e magari gli scrivo una mail allegandogli alcune righe del log che evidenziano il genere di attivita' di traffico..quanto meno capiscono che c'e' qualcuno che si legge i log e non e' del tutto uno sprovveduto...potrebbe bastargli a girargli alla larga...se posso aggiungere un po' di ironia ;-)

quella di staccarsi dal PC ed andare un po' a fighe mi ha fatto ridere di gusto...grandi tutti, come al solito!!!

Ciao

dboogieman

alexerre · Apprentice Joined: 17 Sep 2003 Posts: 267 Location: Italy

scusate uppo un attimo trovandomi anch'io nella suddetta situazione.
Vorrei sapere una cosa, magari c'è qualcuno che lo sa: dove si può trovare un bot che fa questo mestiere per studiarne il codice?
Soprattutto capire che genere di vulnerabilità usa sulle macchine attaccate.
_________________
Se segui gli altri non arriverai mai primo

gutter · Posted: Thu Jun 09, 2005 9:34 pm Post subject:

Hrk · Posted: Fri Jun 10, 2005 12:30 pm Post subject: Security through obscurity?

Scusatemi... ma come mai la risposta più comune (anzi, l'unica che ho visto) a questo problema è del tipo "Security through obscurity", ovvero "sposta il port di SSH altrove"?!?

Non vorrei attirarmi le vostre antipatie, ma è un metodo veramente del piffero!

Spostare il port ti mette al sicuro da quegli scan automatici _mirati_ sul port di default... ma se per qualche motivo un malintenzionato un attimino più furbo fa un port scan totale della macchina, ecco che avere spostato il port non serve più a niente...

Avete un server SSH in piedi e avete paura dei malintenzionati? Bene: autenticazione unicamente mediante chiave pubblica/privata (con passPHRASE se temete la chiave privata possa venirvi rubata).

Ho più di un server acceso su port 22, ricevo i port scan come voi, ma qualsiasi tentativo di connessione viene ucciso prima ancora di inserire la password (visto che tale accesso è disabilitato).

Generare una coppia di chiavi pubblica/privata è banale e si può fare anche con Windows, infatti amministro il mio server sia quando sono sulla mia workstation (Gentoo), che sul portatile (Mac OS X) che altrove (Windows + chiavetta usb, la chiave in questo caso ha una bella passphrase ovviamente).

comio · Advocate Joined: 03 Jul 2003 Posts: 2191 Location: Taranto

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

secondo me la cosa migliore e' usare un bel knock-knock protocol...
cosi' la porta e' proprio chiusa!
_________________
while True:Gentoo()

Cazzantonio · Posted: Fri Jun 10, 2005 1:14 pm Post subject:

si ma il knock ti costringe ad avere un client di knock installato sul pc da cui ti connetti... non sempre è possibile :roll:

_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

comio · Advocate Joined: 03 Jul 2003 Posts: 2191 Location: Taranto

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

Hrk · Posted: Fri Jun 10, 2005 3:05 pm Post subject:

comio · Advocate Joined: 03 Jul 2003 Posts: 2191 Location: Taranto

.:deadhead:. · Posted: Fri Jun 10, 2005 10:18 pm Post subject:

tante idee, alcune simpatiche da implementare ma IMHO la soluzione più pulita è stata suggerità post e post fà : SWATCH [indicato da fonderia] in pratica si passa in rasseggna i log e quando becca qualche rompipalle gli crea una regolina ad hoc sul FW della macchina.

Cmq io non ci vedo nulla di scandaloso ad avere ssh su una porta a muzzo: se così facendo mi evito il 90% [stando bassi] dei rompipalle, spiegatemi quali potrebbero esser le controindicazioni :wink:

_________________
Proudly member of the Gentoo Documentation Project: the Italian Conspiracy !

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

alexerre · Apprentice Joined: 17 Sep 2003 Posts: 267 Location: Italy

posso dire una cosa?!
i tentativi di intrusione che in questo periodo vanno di moda attraverso ssh sono riservati solo alla versione 1 (vero?)
quindi avendo ssh only su vers. 2 e sufficientemente aggiornato - ovviamente con una password seria - cosa c'è da temere?

@comio: mi secca che qualcuno penetri sulla mia macchina e mi usi per altri scopi.
_________________
Se segui gli altri non arriverai mai primo

X-Drum · Posted: Sat Jun 11, 2005 12:42 am Post subject: Re: Security through obscurity?

mouser · Veteran Joined: 10 Aug 2004 Posts: 1419 Location: Milano

@X-Drum:
Premesso che anch'io ero restio al cambiare porta di ssh, puoi sempre modificare il .bashrc del pc che utilizzi di solito per collegarti al tuo e metterci un bel:

gutter · Posted: Sat Jun 11, 2005 9:09 am Post subject: Re: Security through obscurity?

La sicurezza è un compromesso e dal momento che lo scopo in questo è quello di tagliare fuori molti scan automatici, credo che il metodo della porta alta sia una soluzione (sicuramente non l'ottimo del problema) buona se paragonata al livello medio di chi effettua la scansione.

Si potrebbe stare a discutere per giornate intere, ma andremmo a finire sempre alla stessa conclusione, quanti livelli di sicurezza dovrei implementare? E se ne implemento 'n-1' non è possibile che ne esista un n-esimo?

Una buona soluzione protrebbe essere quello di permettere l'accesso solo ad un IP con chiavi. Ma questo comporterebbe di accettare il "compromesso" (notare la parola compromesso

) tra sicurezza ed usabilità; ovvero e se per una volta necessito di accedere a quella macchina da un altro IP per un intervento urgente, come risolvo il problema.

Questa è la mia personale opinione da sistemista niubbo, quindi ovviamente può non essere condivisa da molti

_________________
Registered as User #281564 and Machines #163761

alexerre · Apprentice Joined: 17 Sep 2003 Posts: 267 Location: Italy

...
derresto la sicurezza è un processo, non un meccanismo. E come ogni processo deve essere seguito in ogni passo della sua evoluzione

Ripropongo la mia domanda: questi tool di scan automatici si avvalgono della vulnerabilità di ssh1 e tentano un brute force basato su dizionario?
_________________
Se segui gli altri non arriverai mai primo

xchris · Advocate Joined: 10 Jul 2003 Posts: 2824

@mouser: ma... i miei post li hai letti? :lol:

ciao

@gutter:
concordo.

Se la vogliamo dire tutta il thread era iniziato parlando di attacchi ripetuti su ssh eseguiti in modo automatico e molto "dumb".

ovvero... il port knocking risolve già al 100% checche se ne dica.

E' OVVIO che se l'attacco e' mirato e' necessario disporre di un server ssh aggiornato.(cosa che controllo regolarmente)

Utilizzare la password e basta?
Come evidenziato da comio qualche post su utilizzare le chiavi presenta dei notevoli vantaggi.
Purtroppo presenta anche qualche inconveniente. (dimenticanza chiave...,perdita chiave se senza passphrase)
Usare la password e' un buon sistema se il server e' AGGIORNATO e la password non e' "pippo".

(amo questo forum perche' in alcuni thread mi viene detto che il firewall e' inutile...in altri mi viene detto che per fare un accesso ssh serve la scansione della retina,riconoscimento vocale, e devo fare tre salti in avanti seguiti da capriola :lol:

)
_________________
while True:Gentoo()

gutter · Posted: Sat Jun 11, 2005 10:01 am Post subject:

.:chrome:. · Posted: Sat Jun 11, 2005 10:57 am Post subject:

per chi fosse interessato, o volesse partecipare, sto buttando giù uno scriptino che fa un meraviglioso route kill

mouser · Veteran Joined: 10 Aug 2004 Posts: 1419 Location: Milano