Newsgroup: it.comp.sicurezza.varie
Titolo: Tentativi di connessione falliti su SSH

Ciao a tutti
ieri nel pomeriggio mi e' arrivato un alert che vi erano troppi
tentativi di accesso falliti a un server che gestisco...
(sms, sirena, email.... evviva gli ids)
ho subito provveduto a verificare ed effettivamente era cosi'...
non ci sono stati tentativi di accesso riusciti. (meno male...
poca voglia di installare un server di sabato)
ho quindi istruito il firewall a bloccare tutta la sottorete
(Provider Koreano) per quanto riguarda la porta 22.
Ho poi mandato mail all'abuse del provider con i log.
Ci sono altre cose che ho dimenticato di fare ?
Ciao
Alessandro

 Ci sono altre cose che ho dimenticato di fare ?
Si'.
Chiudere la 22 a tutto il mondo, e aprirla solo a richiesta per
manutenzione.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
uh... sarebbe una idea...
come implemento il fatto che per fare manutenzione al server
sono connesso
a volte via UMTS
a volte 56K
a volte ADSL
a volte Fastweb ?
;-)

 a volte Fastweb ?
Con svariati trucchi.
Una mail e un procmail intelligente che apre il firewall solo
per l'IP da cui proviene, ad esempio.
Un giochino con ping codificati.
Un nmap con porte in successione prestabilita, e solo se
il ciclo si ripete tre volte correttamente, apre la 22.
L'unico limite e' la fantasia, gli strumenti ci sono tutti.


 
Si, so bene che ci sono mille modi, anche fantasiosi, ma questa e' finta
sicurezza (IMHO), mi sento sicuro perche' nessuno sa che per avere ssh a
portata di mano devo (metti il metodo scelto).
Cosi' evito gli script-kiddie, che nel 99% dei casi arrivano al massimo
a molestarmi perche' vengo contattato dall'IDS, ma gli altri ?
--
Alessandro

 
Mi immagino che usi ssh con i certificati, vero?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ti do un consiglio: mai sputare in un tornado!
		-- Robin Williams

 a molestarmi perche' vengo contattato dall'IDS, ma gli altri ?
Gli altri sono quelli che sanno che ssh 2.0.6.k.2.-3 ha quel baco
specifico, e lo sfruttano.
Ma lo possono fare solo se trovano qualcosa in ascolto sulla 22.
Io non la chiamerei finta sicurezza.


 Ma lo possono fare solo se trovano qualcosa in ascolto sulla 22.
Hai qualche consiglio sulla soluzione più facile da implementare?


Che sistema operativo c'e', sul firewall?
Come e' fatto, il firewall?
Quanto te ne intendi? ;-)
Io andrei di mail e procmail.


 Io andrei di mail e procmail.
La mail è il servizio sicuramente più comodo, sai se esiste qualcosa di 
già pronto da riadattare? Io e procmail ci conosciamo molto poco :-))
Grazie
Fabio

 già pronto da riadattare? Io e procmail ci conosciamo molto poco :-))
Scusa se insisto:
man procmailex
Li' ci trovi parecchi esempi di analisi e di esecuzione comandi.


 riscontro e una mail in arrivo.
Ok, grazie.
Fabio


Intanto cambia la porta di ssh, metti su una 2222 o 3333, gli script 
"cattivi" vanno di default sulla 22.
Poi metti su qualcosa fra iptables e shorewall, senza firewall non puoi 
stare neanche se ci friggi uova sul tuo server.......
I log all'abuse coreana potevi risparmiarteli, se proprio vuoi metterti 
al sicuro l'unica cosa da fare è andare all'ufficio di polizia postale e 
fare la denuncia ed i log portali a loro.
I coreani dei tuoi log se ne sbattono ;)
ciao

 il ciclo si ripete tre volte correttamente, apre la 22.
Ciao,
puoi, per favore, darmi dei riferimenti (link, parole chiave di ricerca
su google, etc) per implementare praticamente i metodi da te accennati
che ho quotato?
Grazie.

 che ho quotato?
Non posso, perche' non so se e chi li abbia fatti.
ma sono tutti nelle possibilita' di script autocostruiti, e di azioni
dei vari IDS come snort e company.


 dei vari IDS come snort e company.
Grazie, cerchero' di googlare sugli IDS.
Ciao