Tentativas de Invasão !!

[spyderlinux]

Pessoal, constantemente estão tentando arrebentar meu SERVER sem sucesso mas mesmo assim teria alguma forma ou algum script pra dropar por definitivo o IP que está tentando acessar meu ssh ?
Alguma dica ?
Ou ate mesmo algo que eu possa retribuir tanta dedicação de um FDP.


Jul 27 22:56:56 guarana sshd[19299]: Failed password for root from 218.12.174.4 port 59816 ssh2
Jul 27 22:57:06 guarana sshd[19302]: Failed password for root from 218.12.174.4 port 34283 ssh2
Jul 27 22:57:12 guarana sshd[19305]: Failed password for root from 218.12.174.4 port 36934 ssh2
Jul 27 22:57:22 guarana sshd[19308]: Failed password for root from 218.12.174.4 port 39021 ssh2
Jul 27 22:57:28 guarana sshd[19311]: Failed password for root from 218.12.174.4 port 41698 ssh2
Jul 27 22:57:32 guarana sshd[19314]: Failed password for root from 218.12.174.4 port 43350 ssh2
Jul 27 22:57:37 guarana sshd[19317]: Failed password for root from 218.12.174.4 port 44487 ssh2
Jul 27 22:57:41 guarana sshd[19320]: Failed password for root from 218.12.174.4 port 45674 ssh2
Jul 27 22:57:44 guarana sshd[19323]: Failed password for root from 218.12.174.4 port 46807 ssh2
Jul 27 22:57:48 guarana sshd[19326]: Failed password for root from 218.12.174.4 port 47884 ssh2
Jul 27 22:57:52 guarana sshd[19329]: Failed password for root from 218.12.174.4 port 49043 ssh2
Jul 27 22:57:56 guarana sshd[19332]: Failed password for root from 218.12.174.4 port 50209 ssh2
Jul 27 22:58:00 guarana sshd[19335]: Failed password for root from 218.12.174.4 port 51311 ssh2
Jul 27 22:58:04 guarana sshd[19338]: Failed password for root from 218.12.174.4 port 53197 ssh2
Jul 27 22:58:08 guarana sshd[19341]: Failed password for root from 218.12.174.4 port 54613 ssh2
Jul 27 22:58:12 guarana sshd[19344]: Failed password for root from 218.12.174.4 port 57221 ssh2
Jul 27 22:58:16 guarana sshd[19347]: Failed password for root from 218.12.174.4 port 59165 ssh2
Jul 27 22:58:20 guarana sshd[19350]: Failed password for root from 218.12.174.4 port 32844 ssh2
Jul 27 22:58:24 guarana sshd[19353]: Failed password for root from 218.12.174.4 port 34632 ssh2
Jul 27 22:58:28 guarana sshd[19356]: Failed password for root from 218.12.174.4 port 36831 ssh2
Jul 27 22:58:32 guarana sshd[19359]: Failed password for root from 218.12.174.4 port 38945 ssh2
Jul 27 22:58:36 guarana sshd[19362]: Failed password for root from 218.12.174.4 port 41174 ssh2

[WhiteTiger]

Duas coisas. Primeiro mude a porta do SSH para outra que não seja a 22.

Instala o ossec: http://www.underlinux.com.br/content/view/6126/59/

[spyderlinux]

A porta do ssh ja ta alterada.
Vou analisar esse ossec.
Na sua opinião seria melhor o ossec ou o snort ?

Valeu ai Tiger

[WhiteTiger]

Disponha.

[MAJOR]

spyderlinux, tenta uma regrinha assim no seu iptables manoww..

Supondo que sua porta ssh esteja em 99


iptables -A INPUT -p tcp 99 -s! 218.12.174.4 -j ACCEPT

abraços manow

[WhiteTiger]

Nesta regra vc libera a porta 99 para todos menos o cara que tah te enviando?

Isso não funciona pq esses caras usam sempre trocentos IPs.

O ossec barra já quando eles tentam acessar.

[MAJOR]

Com certeza WhiteTiger, porem achei que era um caso especifico desse ip.



Mas é isso ai, e pensando melhor, nem especifica a porta.

iptables -A INPUT -s 218.12.174.4 -j DROP


Abraços

[WhiteTiger]

O ideal é que vc mude a porta, bloqueie todo acesso por ssh para rede externa e libere para a rede iterna apenas os mac das máquinas que precisam.

[1c3m4n]

Postado Originalmente por spyderlinux

A porta do ssh ja ta alterada.
Vou analisar esse ossec.
Na sua opinião seria melhor o ossec ou o snort ?

Valeu ai Tiger

usa os 2 juntos...... o ossec le os logs do snort mto bem
se bem que pra essa merdinha de bruteforce soh o ossec da conta com os 2 pes nas costas

[samuelstj]

Como eu libero internamente pra determinados MACs? O que eu tenho que usar? Tb estou com esse problemas.