[linksta]

hi,

ich habe mitlerweile das 2. mal miterleben müssen wie einer oder mehere versucht haben meinen server zu hacken.

diese attacken bringen meinen traffic sowas von in die höhe
kann man dagegen was machen?

ich bräuchte ein sicherheitszertifikat oder sowas fürs ssh
bei 3 fehlversuchen bann auf ip + e-mail mit info an mich
oder irgendwie sowas

[blue32]

Hi,

kamen die Angriffe per SSH?

In der /etc/ssh/sshd_config gibt kannst du bei ListenAddress nur bestimmten IPs erlauben, sich anzumelden. Außerdem gab es noch einen Timeout nach einem falschen Loginversuch. Das macht einen automatisierten Angriff auch unattraktiv.

[Q-Fireball]

Also wenn das ein ssh angriff war, dann erlaub doch nur noch verbindung mit dem richtigen Key. Am besten ist so wenig dienst wie möglich im Internet anzubieten. Also solltest du ssh verbindung nur im Lan erlauben...

P.S.: Die Variante von blue32 ist auch ok vorausgesetzt der Angreiffer hat immer die gleiche IP

Dieser Beitrag wurde von Q-Fireball bearbeitet: 25. November 2005 - 19:00

[linksta]

also das mit den timeouts ist gut
noch sicherer wär natürlich ne feste ip zuweisen. aber da ich ne dynamische ip hab ist das schlecht.
natürlich wär es noch besser ssh nur im lan erlauben.
hab den server aber nich im zimmer stehen sondern gemiertet.

[linksta]

der hoster hat sich bei mir gemeldet

[linksta]

bei v-servern gibt machen sie keine überwachung nur bei root servern

[linksta]

nein, es ist ein vserver
supportticket ist aufgemacht
ein logfile habe ich von denen auch bekommen

[[U]nixchecker]

Sag denen einfach sie sollen Portknocking für dich einrichten, es sei denn du hast root rechte auf der Kiste, dann kannst du es selbst machen.

http://www.portknocking.org/

PortKnocking ist sowas wie ein Zahlenschloss, du klopst mit einer Sequenz an bestimmte Ports, erst danach wird der Port für ssh geöffnet ansonsten ist er zu und niemand kommt überhaupt zum ssh dienst durch.

[Q-Fireball]

Also erstmal würde ich mal schauen was du überhaupt machen kannst. Hast du 100% Access und Root Rechte? Wenn ja dann kannst du ne menge dagegen tun, wenn nicht ist das die Aufgabe des Hosters! Und das die dich im Regen stehen lassen ist eigentlich ne Frechheit
SSH kannst du aber per RSA key pair absicheren. Im gewissen sinne ist das nix anderes als [U]nixchecker mit portknocking machen will. Wer den Key hat kann sich anmelden wer nicht wir abgewiesen erst dann kannst du überhaupt User und Passwort eingeben.
Wenn du weiter gehen willst kannst du einfach das Log auswerten. Da muss die IP mit geloggt worden sein, die kannst du dann mit Traceroute Nachverfolgen. Das sagt dir manchmal schon (mit Hilfe von whois) welcher Provider das ist. Dann hast du weiter Möglichkeiten, denn wenn das so was wie T-Online ist, gleich T-Online darauf aufmerksam machen, ach und wenn du ihm auf frische Tat erwischt und Ahnung hast wirt es richtig witzig .

Apropos Häcker ich denke das wird eher ein Cräcker sein

Dieser Beitrag wurde von Q-Fireball bearbeitet: 27. November 2005 - 14:36

[linksta]

jo ich werd mal den port wechseln.