einbruchsversuche ssh

#1 habe mehrere versuche von irgendnem penner, der über ssh versucht hat bei mir einzubrechen.

Zitat

Oct 8 03:41:36 localhost sshd[9197]: Failed password for illegal user root from ::ffff:xx.xx.xx.xxx port 47665 ssh2

kann ich mit seiner ip irgendwas anfangen? also sie ist immernoch gültig, der scheint ne feste zuhaben.

DANKE !
ralph

#2 Die IP ist unwichtig, falls sie tatsächlich eine statische ist dann benutz iptables um sie zu blocken. Das ist das beste was du hier tuen kannst.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#3 ja, hab ich. sicher bin ich, also so guts geht, aber mir gehts halt auf die eier.

kann sshd eigentlich auch so konfiguriert wedrden, dass nach sagen wir zwei fehlveruschen die ip automatisch geblockt wird?

#4 @ralph16

Gute Frage, ist über PAM sicherlich möglich - eine andere Idee wäre nur noch Schlüssel zu benutzen und keine Passwörter.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#5 jo, denk ich auch is ne sichere sache. aber problem is, wenn ich mich unterwegs von nem rechner bei mir einloggen muss.

#6 @ralph16

Naja du könntest den schlüssel auf was portables packen (zb. usb stick, simm karte etc.) oder wie gesagt PAM - PAM kann ne menge, allerdings weiß ich nicht ob es vernünftig ist eine IP nach 3x fehlschlag zu blocken. Es gibt ne ganze menge dynamische IP's, außerdem könnte es dir selbst zum Verhängnis werden
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#7 dachte pam wär nur sowas wie ne möglichkeit mehrere protokolle zu vereinen, aber hab nur ssh, also brauch ich doch kein pam, oder?

hab den providern mal ne mail geschickt, mit dem logauszug. mal schaun, ob die mir ihre daten geben. oder ob sie die selbst anzeigen. sind zwar nicht durchgekommen, klar^^, aber einbruchversuch ist ein strafdelikt. diese Schei... root-kids gehn mir echt aufs maul.

könnte eigentlich ein beliebiger user, also ausser die administration meine ip hier aus diesem board fischen? ob jemand ssh hat, oder er sich als noob darstellt, und demzufolge es leicht ist bei ihm einzubrechen, da is ja hier das forum eine erste adresse ;o)

#8

Zitat

aber einbruchversuch ist ein strafdelikt.

Bei sowas soweit wie ich weiß nicht, vor allem kannst du nicht nachvollziehen ob überhaupt irgendwer mutwillig einbrechen wollte.

Zitat

hab den providern mal ne mail geschickt, mit dem logauszug.

Glaub nicht das, dass irgendeinen interessieren wird, da er ja nicht strafrechtlich belangt werden kann.

Zitat

dachte pam wär nur sowas wie ne möglichkeit mehrere protokolle zu vereinen, aber hab nur ssh, also brauch ich doch kein pam, oder?

Du liegst sehr weit daneben. PAM vereint gar keine Protokolle - PAM = plugable authentification modules. Hat was mit Zugriffssteuerung zu tuen, was PAM alles kann, kann ich gar nicht aufzählen. Damit kannst du dich ja mal beschäftigen. Viele Programme sind mit PAM kompatibel, OpenSSH soweit wie ich weiß auch. Proftpd zb. auch.

Zitat

ein beliebiger user, also ausser die administration meine ip hier aus diesem board fischen?

Ich denke "nein".
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#9 ok, danke für deine erklärung. werd ich mich mal mit pam beschäftigen.

hab grad noch ne frage: meinst du man kann ein script baun oder so, das bei jedem anmelden eines benutzers über ssh oder sonstwelche protokolle sone art alarm schlägt? also, wenn so kleines popup öffnet, sodass ich immer weiss, wer aktuell auf meinem rechner ist,. und natürlich wenn sich jemand illegalerweise versucht anzumelden, sprich bei failure!!

#10

Zitat

hab grad noch ne frage: meinst du man kann ein script baun oder so, das bei jedem anmelden eines benutzers über ssh oder sonstwelche protokolle sone art alarm schlägt? also, wenn so kleines popup öffnet, sodass ich immer weiss, wer aktuell auf meinem rechner ist,. und natürlich wenn sich jemand illegalerweise versucht anzumelden, sprich bei failure!!

Für nen poopup reicht kein scripting aus. Es sei denn du meinst ein vorhandenen windows rechner im netz, samba kann ja diese windows nachrichten verschicken - darüber könnte sowas gehen. Oder du läßt dir halt /var/log/messages über tail in nem *term laufen und fillterst die ssh protokolle heraus.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode