Ενοχλητικό SSH Bruteforce στο Server μου

[maximos1990]

Καλησπέρα,

Έχω 12 virtual server στο σπίτι που τους χρησιμοποιώ για Mail servers, File Sharing, Backup, DNS κτλπ πίσω απο ένα pfsense Firewall με static ip. Τις τελευταίες ημέρες προσπαθεί μια συγκεκριμένη ip να μπεί στον ssh server ο οποίος άκουγε στην πόρτα 22 πριν την αλλάξω. Άλλαξα Port και παρόλα αυτά ασταμάτητα μου κοπανάει την πόρτα 22 κάθε 2 δευτερόλεπτα, γεμίζοντας ουσιαστικά τα log files...

Το μόνο που του έκανα είναι ένα DDOS attack του 1 Gbit και σταμάτησε το brute-force για τον χρόνο που έκανα την επίθεση🤣. Επίσης βλέπω οτι το firewall κόβει οποιοδήποτε attempt αλλά με εκνευρίζει... Είναι σαν να είσαι σε έναν πολυσύχναστο δρόμο, και ο κάθε ενας να δοκιμάζει τα κλειδιά του στο αμάξι σου... It Ain't Gonna Work, δεν είναι καν ενεργός ο root χρήστης...

Η Ip είναι 222.186.190.14. Σύμφωνα με το abuseipdb.net (https://www.abuseipdb.com/check/222.186.190.14) είναι απο κίνα και έχει γίνει reported 15000 φορες...

Ξέρω  οτι έτσι είναι το Internet αλλα μήπως έχει κανείς κάποια ιδέα τι να κάνω?

Επεξ/σία 17 Μαΐου 2020 από maximos1990

[https]

Είχα καταλάβει ότι είναι κινέζος, προτού το διαβάσω στο ποστ σου. Έτσι είναι αυτοί, αδίστακτοι...

Εχω πολλές παρόμοιες εμπειρίες. Ειδικά με τη θύρα ssh, τρελένονται!

Δε χρειάζεται να κανεις τίποτα από εμένα..

Επεξ/σία 18 Μαΐου 2020 από https

[Επισκέπτης]

Και εγω οτι vps εχω στήσει αργα ή γρήγορα δέχομαι τέτοιου είδους επίθεση απο κινεζική IP. 

Τους κοβω με ip tables γιατι αφήνω μόνο την ip μου, εχω pasworsless το ssh και οχι για τον root και δεν εχω βρει  κατι αλλο να κάνω. Τα αφήνω ετσι. 

[logvphys]

Το τελευταιο καιρο ειναι της μοδος οι επιθεσεις απο Κινα. Εχω και εγω καθημερινα. Περασα ενα port scanning και anti ddos attack στο ρουτερ μου καυως και εκλεισα ftp, ssh, telnet ports και ησυχασα. Μπαναροντε οι ip's τους πριν αρχισει καποιο flood.

Επεξ/σία 18 Μαΐου 2020 από logvphys

[Επισκέπτης]

fail2ban σε freebsd δεν ξέρω αν παίζει, αλλά βρήκα στο διαδίκτυο αυτό:

https://www.reddit.com/r/PFSENSE/comments/2xguy2/fail2ban_like_package/

ίσως βοηθήσει, σε εμένα με linux server όμως όταν ενεργοποίησα fail2ban άρχισαν να μου την πέφτουν από άλλους host του ίδιου δικτύου. 

[logvphys]

Θα πρεπει να εξαιρεσεις το bridge.

[maximos1990]

Ευχαριστώ πολύ για τις απαντήσεις σας!

Ήθελα να καταλάβω, αν ο μόνος λόγος που κάνουν το Brute-force είναι να αποκτήσουν πρόσβαση στα data μου και σε Ελληνική IP και μετά να τρέχουν τις επιθέσεις τους απο την IP μου? Δεν βλέπουν οτι η 22 είναι πλέον κλειστή?

Επίσης πολύ χρήσιμο για όποιον ενδιαφέρετε στο pfsense ειναι το pfblocker geoipGEO. Ουσιαστικά μπλοκάρει το attempt σύνδεσης απο συγκεκριμένες χώρες όπως Κίνα, Ρωσσία κλτπ πριν γίνει established το connection.

Ευχαριστώ και πάλι για τα suggestions!

[logvphys]

Απο bot servers γινεται

[GeorgeKatz]

Ρίξε και μια ματιά στο πακετάκι denyhosts, αν βλέπει αποτυχημένες προσπάθειες σύνδεσης, βάζει αυτόματα την IP στη μαυρη λίστα.

[maximos1990]

Ευχαριστώ!