Есть сервак под лихнулом с реальным айпишником (ssh открыт наружу). Сейчас обнаружил, что на него пытались логиниться с какого-то мне совершенно не известного инетовского адреса. Пробовали залогиниться под учентыми записями guest, admin, test и все в таком духе. У них ничего не получилось. Но что делать с этим инцидентом? Как правильно и грамотно на него реагировать?Заранее большое спасибо за ответ!
>Есть сервак под лихнулом с реальным айпишником (ssh открыт наружу). Сейчас обнаружил,
>что на него пытались логиниться с какого-то мне совершенно не известного
>инетовского адреса. Пробовали залогиниться под учентыми записями guest, admin, test и
>все в таком духе. У них ничего не получилось. Но что
>делать с этим инцидентом? Как правильно и грамотно на него реагировать?
>
>
>Заранее большое спасибо за ответ!разрешить ssh с определенных айпи
У меня тоже самое (т.е. пробуют под теми же юзерами залогиниться) + частенько начали пробовать root-ом влезть !Может кто нить в курсе что происходит ? У меня на на нескольких серверах одинаковые попытки влезть по ssh ?
Вирус имитирующий юзера который логинится через ssh ?
>У меня тоже самое (т.е. пробуют под теми же юзерами залогиниться) +
>частенько начали пробовать root-ом влезть !
>
>Может кто нить в курсе что происходит ? У меня на на
>нескольких серверах одинаковые попытки влезть по ssh ?
>
>Вирус имитирующий юзера который логинится через ssh ?
прову детально отпишите.
есть четкий порядок регистрации попыток взлома.
>прову детально отпишите.
>есть четкий порядок регистрации попыток взлома.Своему прову отписывать? И что прову отписывать?
Что за четкий порядок регистрации попыток взлома? Где про это можно почитать?
>У меня тоже самое (т.е. пробуют под теми же юзерами залогиниться) +
>частенько начали пробовать root-ом влезть !
>
>Может кто нить в курсе что происходит ? У меня на на
>нескольких серверах одинаковые попытки влезть по ssh ?
>
>Вирус имитирующий юзера который логинится через ssh ?
Скорее всего обычный сканер безопасности.
>Скорее всего обычный сканер безопасности.Скорее всего. Но не оставлять же это без внимания! Неужели просто закрывать на это глаза?
>разрешить ssh с определенных айпиНе вараинат. Я со своим ноутом слишком много где бываю, и эти айпишники не поддаются упорядочиванию.
Так что же все таки делать? Кому жаловаться на это?
>>разрешить ssh с определенных айпи
>
>Не вараинат. Я со своим ноутом слишком много где бываю, и эти
>айпишники не поддаются упорядочиванию.
>
>Так что же все таки делать? Кому жаловаться на это?
типа "такой-то клиент.. уведомляю вас о том что участились попытки...."
и кусок лога с адресами временем...а админы прова уже(или потом:)) ответят...
>типа "такой-то клиент.. уведомляю вас о том что участились попытки...."
>и кусок лога с адресами временем...
>
>а админы прова уже(или потом:)) ответят...Ок. Спасибо. Попробую отправить такое мыло. Посмотрим, что скажут...
>>>разрешить ssh с определенных айпи
>>
>>Не вараинат. Я со своим ноутом слишком много где бываю, и эти
>>айпишники не поддаются упорядочиванию.
>>
>>Так что же все таки делать? Кому жаловаться на это?
>
>
>типа "такой-то клиент.. уведомляю вас о том что участились попытки...."
>и кусок лога с адресами временем...
>
>а админы прова уже(или потом:)) ответят...
... и админы прова прикроют соответствующие порты ...
это устроит?
или есть иные способы? посылать такое письмо вверх "по комманде"? и каков примерно будет результат?
Настроить IDS, например snort+snortsam или portsentry
Refused incoming connections:
203.251.225.23 (203.251.225.23): 10 Time(s)
202.8.254.4 (202.8.254.4): 89 Time(s)
61.222.175.146 (61.222.175.146): 40 Time(s)
что характерно все IP не из постсоветского сегмента :)
IMHO их провайдеры не будут вообще ничего делать