Re: SSH

[Chris Cohen <kildau-ml@gmx.de>]

On Thursday 12 July 2007 12:00, Matthias Haegele wrote:
> Mathias Brodala schrieb:
> > Hallo Christian.
> >
> > Christian Schnitz, 12.07.2007 11:48:
> >> Ronny Wagner schrieb:
> >>> ich bekomme in letzter Zeit vermerkt SSH Username Attacken.
> >>
> >> Wenn Du kannst ändere den Port von 22 auf irgendeinen anderen, nicht
> >> Benutzten, oberhalb von 1024. Das hält schon mal "Skript-Kiddies” ab
>
> Jo. Das kann ich nur empfehlen, und root Login abschalten s.u.
> Sonst müllen einem die das ganze Log zu ...
>
> > Zusätzlich kann man auch von "AllowUsers" Gebrauch machen. Hier bei mir
> > gibt es z. B. nur einen einzigen User, der sich einloggen darf (ich, von
> > der Uni aus), alles andere wird also gleich rigoros abgewiesen.
>
> zusätzlich dann:
>
> PermitRootLogin no
>
> wobei Keys schon nicht schlecht sind ...
>
Passt vielleicht nicht ganz hierher, aber ich nutze auf unserer Firewall etwas 
wie:
table <scanners> persist
block in quick on $ext_if inet proto tcp from <scanners> to any port ssh
pass in quick on $ext_if inet proto tcp  from !<scanners> to any port ssh \ 
state (max-src-conn-rate 3/30,overload <scanners> flush global)

Das schreibt alle IPs, die öfter als 3x in 30s versuchen eine neue Verbindung 
auf Port 22 aufzubauen in eine Tabelle und verweigert diesen IPs die 
Verbindung. Das geht mit IPTables bestimmt auch(?).
Ein Kollege nutzt fail2ban dafür, wie das allerdings genau funktioniert: kA.

-- 
Greetings
Chris