Comments on: Log ssh et bruteforce, iptables, interdire root http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html par Billyboylindien Tue, 07 Oct 2008 05:57:40 +0000 http://wordpress.org/?v=2.6 By: Réparer ssh : WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-10652 Réparer ssh : WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! Mon, 16 Jun 2008 21:44:32 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-10652 [...] vous aviez changé le port d’ssh, vous devez alors entrer la commande [...] [...] vous aviez changé le port d’ssh, vous devez alors entrer la commande [...]

]]> By: Benjamin L http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-5239 Benjamin L Fri, 05 Oct 2007 14:08:16 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-5239 Bon, mon problème est résolu. J'ai finalement opté pour une connexion uniquement à base de clé DSA ; ça règle aussi le problème de brute-force, après-tout. :p Bon, mon problème est résolu. J’ai finalement opté pour une connexion uniquement à base de clé DSA ; ça règle aussi le problème de brute-force, après-tout. :p

]]> By: Benjamin L http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-5237 Benjamin L Fri, 05 Oct 2007 06:50:18 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-5237 Hum... Ce n'est pas très... « rigolo ». :p J'ai utilisé les dernières règles IPtables indiquées dans les commentaires, et depuis je n'arrive plus à me conecter moi-même en SSH. ôO Je me connectes habituellement avec une clé DSA, mais là... rien. Au bout de deux minutes : connexion refusée, et rien de plus. C'est vexant, et je vais me faire chier pour corriger ça. :p Hum… Ce n’est pas très… « rigolo ». :p

J’ai utilisé les dernières règles IPtables indiquées dans les commentaires, et depuis je n’arrive plus à me conecter moi-même en SSH. ôO
Je me connectes habituellement avec une clé DSA, mais là… rien. Au bout de deux minutes : connexion refusée, et rien de plus.

C’est vexant, et je vais me faire chier pour corriger ça. :p

]]> By: skool http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-827 skool Sun, 11 Feb 2007 15:12:23 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-827 Bon, j'ai un peu adapté les regles iptables pour pouvoir régler le temps de bannissage de l'ip qui essaye de se connecter 4 fois en 60 secondes le principe est de créer une table de bannissage, au bout de 4 tentatives, on mets une entrée dans la table de bannissage, puis à la suivante, si c'est loggé en table de bannissage, alors on bloque pendant x secondes en concret, ca donne à peu pres cà : <code>-N SSH_BAN -A SSH_BAN -p tcp -m tcp -m recent -i eth0 --dport 22 --update --seconds 300 --name SSH_BAN -j DROP -A SSH_BAN -p tcp -m tcp -m recent -i eth0 --dport 22 --set --name SSH_BAN -A INPUT -p tcp -m tcp -m recent -i eth0 --dport 22 --update --seconds 60 --hitcount 4 --name SSH -j SSH_BAN -A INPUT -p tcp -m tcp -m recent -i eth0 --dport 22 --set --name SSH </code> en ajoutant /sbin/iptables au début de chaque ligne pour l'utiliser dans un script pure (moi c'est un fichier de regles, utilisé en parametres d'un autre script..) et techniquement, ca bannit 5 min ceux qui tentent de se logger 4 fois en 60 secondes, puis 2 autres fois en 5 min (a verifier, je ne suis pas sur à 100% de la synchro, mais en tout cas, c'est au bout de 6 fois) Bon, j’ai un peu adapté les regles iptables pour pouvoir régler le temps de bannissage de l’ip qui essaye de se connecter 4 fois en 60 secondes

le principe est de créer une table de bannissage, au bout de 4 tentatives, on mets une entrée dans la table de bannissage, puis à la suivante, si c’est loggé en table de bannissage, alors on bloque pendant x secondes

en concret, ca donne à peu pres cà :
-N SSH_BAN
-A SSH_BAN -p tcp -m tcp -m recent -i eth0 --dport 22 --update --seconds 300 --name SSH_BAN -j DROP
-A SSH_BAN -p tcp -m tcp -m recent -i eth0 --dport 22 --set --name SSH_BAN
-A INPUT -p tcp -m tcp -m recent -i eth0 --dport 22 --update --seconds 60 --hitcount 4 --name SSH -j SSH_BAN
-A INPUT -p tcp -m tcp -m recent -i eth0 --dport 22 --set --name SSH

en ajoutant /sbin/iptables au début de chaque ligne pour l’utiliser dans un script pure (moi c’est un fichier de regles, utilisé en parametres d’un autre script..)

et techniquement, ca bannit 5 min ceux qui tentent de se logger 4 fois en 60 secondes, puis 2 autres fois en 5 min (a verifier, je ne suis pas sur à 100% de la synchro, mais en tout cas, c’est au bout de 6 fois)

]]> By: admin http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-826 admin Sun, 11 Feb 2007 14:34:51 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-826 Oui 60 secondes. Et c'est RADICAL 99% de scan en moin. Rien que le fait de changer de port ca te change la vie en même temps. ++ Oui 60 secondes.
Et c’est RADICAL

99% de scan en moin.
Rien que le fait de changer de port ca te change la vie en même temps.

++

]]> By: skool http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-825 skool Sun, 11 Feb 2007 14:28:18 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-825 Et ca bannit combien de temps la regle iptables ? 60 secondes ? En tout cas, merci du tuyau, j'en avasi marre de me faire bruteforcé... ;) Et ca bannit combien de temps la regle iptables ? 60 secondes ?

En tout cas, merci du tuyau, j’en avasi marre de me faire bruteforcé… ;)

]]> By: admin http://www.billyboylindien.com/securite/log-ssh-et-bruteforce-iptables.html#comment-140 admin Sat, 16 Sep 2006 11:56:09 +0000 http://www.billyboylindien.com/blog/hebergement/log-ssh-et-bruteforce-iptables/#comment-140 Depuis que j'ai changer mon port ssh: <strong>0 scans</strong> Résultats failtoban installé pour rien mais on sait jamais desfois que quelqu'un voudrais scanner mon port ssh avant :D ++ Depuis que j’ai changer mon port ssh: 0 scans

Résultats failtoban installé pour rien mais on sait jamais desfois que quelqu’un voudrais scanner mon port ssh avant :D

++

]]>