ssh 로그인하여 타 서버를 해킹하기 위한 숙주로 이용하기 위하여 무수히 많은 외국 PC 들이 리눅스에 접근해 옵니다.
이를 방지하기 위해서 저는 hosts.deny 에 시도 5회 로그인 패스워드 실패시 자동등록하여 차단하고 있습니다.
1.쉘스크립트 작성
2.크론탭에 등록
설명
그림 1,2를 보면 /var/log/secure 파일을 열은것인데
109.228.52.237 ip 에서 5번의 ssh 로그인 시도끝에 패스워드 실패하면
그 다음부터 /etc/hosts.deny 에 등록이 되기 때문에 자동차단되는것을 알수 있습니다.
~/.forward 파일에 네이버수신메일주소를 적어 네이버메일로 받아보실수 있습니다.
핸드폰으로 자동응답수신됨.
3번째 그림은 쉘스크립트
4번째 그림은 hosts.deny 에 등록된 ip
이지포토
포트만 달라도 공격 90%이상 막아집니다 (애초에 봇같은거 돌릴떄 포트 스캔까지 하면 시간 너무 걸리니 일일히 확인 안 함)
22 -> 222 -> 2222
이렇게 바꾸어 왔는데요. 계속 공격당하고 5회시도 차단되었다고 메일로 알림을 받아왔는데요.
저는 딱히 외부에서 SSH 접속해서 NAS 관리할 일이 없을것 같아서
그냥 포트포워딩에 넣었던 포트를 막아버렸습니다.
회사 PC로 접속하려면 SSH는 보안때문인지 집의 NAS로 접속이 안되더군요.
SSH 접속자첸 허용 ip주소 대역을 변경하면 됩니다
다만 제경우 보안상 불안때문에 애초에 터널링 프로토콜에 쓸 포트랑 외부 서비스용 포트를 빼고 싹 다 막아버렸습니다
그나저나 bash shell을 C언어 스타일로 쓰시는군요^^ 반간습니다 ㅎ
SSL VPN을 쓰든 허용된 아이피만 사용하게 하는것만이 방어하는길입니다.