Пытаются взломать сервер
Столкнулся с проблемой, злоумышленники пытаются взломать сервер, в логах авторизации много записей о не удачной авторизации с разных IP адресов, записи идут с периодичностью в секунду.
Jun 5 08:58:19 vps5 sshd[17697]: Failed password for root from 157.245.105.149 port 49002 ssh2
Jun 5 08:58:19 vps5 sshd[17697]: Received disconnect from 157.245.105.149 port 49002:11: Bye Bye [preauth]
Jun 5 08:58:19 vps5 sshd[17697]: Disconnected from 157.245.105.149 port 49002 [preauth]
Пароль установлен надежный, но если они такими темпами будут подбирать, то всякое может быть
Что делать в таких ситуациях, как бороться с такими людьми?
Ответы (3 шт):
Это похоже на брутфорс. Если ваш пароль достаточно крепок - не стоит волноваться. Желательно ограничить лимит запросов с 1 IP и сменить пароли на более сильные.
Вижу тут пытаются подбирать пароль рута. Запретите вход под root через ssh, если это еще не сделано (опция PermitRootLogin no в sshd2_config). Входите только под обычным пользователем с правом повышения привилегий через sudo или становитесь рутом с помощью su.
Так же можно сменить порт, это должно решить проблему, потому как ломают не целенаправленно вас, сейчас любая машина в интернет с открытым 22 портом постоянно находится под подобным брутфорсом.
А еще можно отказаться от паролей. Настройте доступ по ключам. Протестируйте его. Надежно сохраните ключи не забыв сделать копию. После этого можно отключать вход по паролю установкой PasswordAuthentication no, ChallengeResponseAuthentication no
Вообще, лучше запретить авторизацию из под рута в /etc/ssh/sshd_config ставим PermitRootLogin no.
А авторизовываться под другим пользаком, с рут правами.
adduser nickname
Создаём пользователя, 'nickaname' замените на свой логин
usermod -aG sudo nickname
Даём пользователю рут права, 'nickaname' замените на свой логин.
Так злоумышленникам нужно будет угадать не только пароль, но и логин.
Следующий этап защиты - фаервол, который будет блочить слишком частые запросы.