Newsgroup: it.comp.os.linux.sys
Titolo: un lamer o devo preoccuparmi?

ciao a tutti poco fa per caso ho visto su /var/log/messages 7/8 tentativi
di accesso in ssh con username tipo mysql,test,guest,admin,webmaster,e
soprattutto fluffy dall'indirizzo 220.78.119.154.. 
credo non sia niente di preoccupante considerando che è un desktop.. con
ssh attivo solo per esperimenti casalinghi di networking.. che non ho
niente di interessante per qualunque attacker.. a meno che non vogliano
rubarmi dispense e mp3..
però ero curioso sul come bisogna comportarsi in questi casi..
per esempio.. come posso scoprire il più possibile sull'attacker? whois?
nmap? 
dovrei denunciarlo all'abuse?
ciao ciao..
-- 
[Filippo...........................]
[Linux User #342745................]
        ==[...penguin powered...]==

 dovrei denunciarlo all'abuse?
Spesso è tempo perso, in massima parte sono dei virus che hanno
"zombizzato" macchine di utenti ignari; questi credono di navigare
normalmente e intanto stanno insozzando mezza internet.
I virus cercano di zombizzare a loro volta altre macchine, tentando
accessi via ssh per propagarsi. Se hai ssh configurato bene (e
discretamente aggiornato: alcune vecchie versioni avevano dei bug di
sicurezza) non hai nulla da temere.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 lasciare quella con chiavi RSA (sempre che nel tuo ambiente sia accetabile).
Piuttosto di far finta di niente (che non e` che sia una cosa
meravilgiosa, visto che magari prima o poi il tentativo diventa un
successo...) potresti, per esempio segare via il fenomeno con una bella
regola di iptables:
iptables -A INPUT -s $IP_DEL_FENOMENO -d $TUO_IP -j DROP
augh
-- 
Paolo Ripamonti
http://www.cyberpax.tk


Più semplice:
route add -host $IP_DEL_TRUZZO reject
Senza iptables o altro
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Durante la guerra avevamo una tale fame che, quando aprivamo la credenza,
c'erano dentro i topi che piangevano.
		-- Gianni Magni

 regola di iptables:
Mi sembra abbastanza inutile. Prima di tutto perché i tentativi durano 
di solito circa 30 minuti e quando uno se ne accorge è già finito. 
Secondo perché sono quasi tutti IP dinamici.
-- 
Lorenzo `paulatz' Paulatto
Trieste
``Se Gauss fosse vivo oggi, sarebbe un hacker.''
      --Peter Sarnack (Princeton University)

 Secondo perché sono quasi tutti IP dinamici.
... Appunto.


 Secondo perché sono quasi tutti IP dinamici.
touche`!
devo ricordarmi di prendere il caffe` _prima_ di leggere i ng :-D
in effetti sarebbe da verificare _prima_ che razza di ip sia...


 dovrei denunciarlo all'abuse?
Mi capita in media ogni due giorni, appena ho qualche minuto cambio la 
porta del demone, così forse almeno non vengo riempito di "alert" via mail.
Io guardo l'abuse citato nel "whois" e mando una mail. Spesso sono 
server in housing o università e generalmente il responsabile dell'abuse 
mi risponde ringraziandomi.
L'importante è di avere sempre impostate password non-banali poiché 
questi worm applicano meccanismi "brute force" alla ricerca di una 
qualche falla nella gestione degli account (utente gip, grep, sort... 
tutti utenti generati da un possibile script bacato... oltre ai classici 
postmaster, oracle, amanda etc)
Fin'ora (tasta testicula) nessun guaio.
Alex.

 
Pochi giorni fa', facendo una ricerca per conto terzi, mi sono imbattuto
in questo -> 
http://www.pettingers.org/code/SSHBlack.html
 : uno
scriptino Perl che dovrebbe leggersi i log di SSH e chiudere la porta
all'indirizzo incriminato dopo N tentativi mal riusciti, riaprendola poi
dopo un periodo di tempo prefissato.
Non l'ho provato (e neppure analizzato per vedere se ha un senso...), ma
se funzionasse sarebbe un compromesso tra il chiudere completamente la
porta all'esterno (hai visto mai che possa servire...) e negare
esplicitamente l'accesso ad un certo IP che magari cambia nel giro di
dieci minuti...
-- 
Roberto -MadBob- Guido
mail bob4mail***@***
gmail.com
web 
http://madbob.homelinux.com
BrainTop Project maintainer - 
http://braintop.sf.net

 dopo un periodo di tempo prefissato.
QUESTA è una cosa che cercavo di fare da tempo.
Mo' vado a leggere.... grazie !


 mi risponde ringraziandomi.
Anche io l'ho fatto una decina di volte...ma non mi ha mai risposto
nessuno, da li' "ho perso la poesia" e ho smesso di farlo.
Per quanto mi riguarda comunque, dove possibile, cambiare la porta ha 
ridotto a zero questo tipo di scan.
Gufo
-- 
  ,___,		 	SYSTEM-INDEPENDENT:
  (9v9)		 Works equally poorly on all systems.
  (_^((\	
-^-"-"-\\-^--	 Remove -me- to reply in email

 di accesso in ssh con username tipo mysql,test,guest,admin,webmaster,e
<>
gate:~# grep Failed /var/log/auth.log | wc -l
   3041
E questo su un adsl dinamica, se vuoi vedere quelli dei server...
Configura correttamente la tua macchina, ivi compreso ssh, e vivi
tranquillo.
Welcome to internet.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Christ died for our sins, so let's not disappoint him.

 accetabile).
Oppure usare questo:
http://www.portknocking.org/
In poche parole: tu "bussi" su tre, quattro, quantenevuoi, porte tcp/udp
ed il demone knockd esegue una regoletta di iptables che ti apre la
porta 22 solo per il tuo IP e per soli 15 secondi.
Poi richiude la porta ai pacchetti SYN, cosě solo la tua sessione ssh
rimane attiva.
-- 
Un Ciao in DO Maggiore!
-=) Sbaturzio (=-

 
Io ho risolto spostando la porta del demone ssh da un'altra parte .... e 
da allora non ricevo piu' nessun acesso balordo :)
Soluzione semplice semplice, ma efficace.
Ciao
	MaX