[es] - Napadi na SSHD i evo kako to spreciti

mkdsl

Član broj: 28910
Poruke: 796
212.62.46.*

+10 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 10:22 - pre 241 meseci}

Citat:

littleboy: ?

Kako ce da dodje do kljuca ?
Drzis kljuc valjda na svojoj masini, ako ti uhaka masinu onda mu i ne treba access na nekom tamo shell serveru... a obicno na kucnim masinama i ne treba da bude nekih servisa pa da moze da dodje do naloga.

Logovanjem sa javnih mashina, putem java ssh, da ne pominjem logovanjem sa drugih shell servera kojima administratori imaju pristup shellovima... Mozhe na dosta nachina...

Citat:

Ja ne drzim shell server, ali mislim da je to fer i korekt.

Ja ga, nazhalost drzhim, ali neki korisnici ne znaju za pojam rechi fer i korekt...

Citat:

alex: To suzavanje je ACL princip i sasvim je odgovarajuca zastita pored osiguravanja samog servisa putem bezbednije konfiguracije, tipa RSA ili pubkey kljuceva umesto cleartext lozinki, zatim ogranicavanje pristupa samo odredjenim korisnicima (u mom slucaju samo jedan korisnik) itd.

Da, ali kad imash shell hosting kome pristupaju ljudi shirom sveta?

Citat:

ACL se koristi svuda u svetu. Sad, administratoru (korisniku) je ostavljeno da odluci sta ce i kako ce da izvede to suzavanje - ja sam ga izveo na gore-spomenuti nacin iz slicnih razloga kao i Vanja. Siguran sam da necu da se konektujem putem SSH-a iz Afrike.

Cak i da hocu, tu je uvek VPN.

VPN je dobar nachin, ali nije za ovu temu, zaista

Citat:

Kao dodatno resenje se odlicno pokazao i port-knocking servis. Sistem je po defaultu konfigurisan da odbija konekcije sa svih ip adresa i dozvoljava konekciju samo sa IP adresa koje tacno izvedu port-knock sekvencu. Sjajna stvar.

Odlichno! Moracu da probam to, nadam se da nece stvoriti konfuziju kod korisnika

Odgovor na temu

anon315

Član broj: 315
Poruke: 1657
*.adsl.sezampro.yu.

+13 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 10:26 - pre 241 meseci}

Aj vec kad pricamo i imamo multiple resenja, evo jos jedna varijanta:

http://www.snort.org/

+

http://freshmeat.net/projects/blockit/

+

IPTables | IPChains | IPFWADM | Checkpoint

Resava problem promenljive IP adrese napadaca.

_{[Ovu poruku je menjao Vanja Petreski dana 24.06.2005. u 11:33 GMT+1]}

Odgovor na temu

gandalf
Goran Raovic
senior network engineer
Belgrade

Član broj: 52
Poruke: 248
*.gradac.net.

Jabber: goran.raovic@gmail.com

+44 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 10:30 - pre 241 meseci}

http://gentoo-wiki.com/HOWTO_Protect_SSHD_with_Swatch
Radi odlicno, mada je mnogo bolje knocd. E da ali obavezno stavi knockd da ga pokrece supervice.

CCIE #22192 )
https://pulsarpoint.rs

Odgovor na temu

anon315

Član broj: 315
Poruke: 1657
*.adsl.sezampro.yu.

+13 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 10:33 - pre 241 meseci}

http://gentoo-wiki.com/HOWTO_Port_Knocking

Dobar ovaj Gentoo-Wiki

Odgovor na temu

TiXo
Tihomir Pantović
Čačak

Član broj: 7796
Poruke: 537
*.adsl.sezampro.yu.

Jabber: tixo@jabber.ru
ICQ: 74381511

Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 21:20 - pre 241 meseci}

Citat:

mkdsl:

Citat:

Logovanjem sa javnih mashina, putem java ssh, da ne pominjem logovanjem sa drugih shell servera kojima administratori imaju pristup shellovima... Mozhe na dosta nachina...

hm, ovde se više ne govori o zaštiti servisa na bruteforce napad, već o politici korišćenja resursa, ako imaš neodgovorne korisnike/radnike/isl neće ti pomoći nikakva zaštita. Veseljak uvek može svoju knock sekvencu i user/pass da zapiše u .txt i da to ostavlja po desktopima u internet kafeima, isl...

A šta sve i kako može da zloupotrebi i "ukrade" lokalni admin (admin drugog shell servera, internet kafea, isl) od "letećeg" korisnika nema smisla ni nabrajati...

Korisnik mora da potpuno bude svestan šta znači njegov secret key i da odgovara ukoliko ga neko zloupotrebi.

_{P.S: Gentoo wiki je odličan ;)}

^{GnuPG public key:

tixo.asc}

^{Try and be nice to people, avoid eating fat, read a good book every now and

then, get some walking in, and try and live together in peace and harmony with

people of all creeds and nations.}

Odgovor na temu

weB_KiLeR

Član broj: 238
Poruke: 1317
*.3dnet.co.yu.

Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 21:37 - pre 241 meseci}

@Alex

Metoda deny all ti je bash efektivna mnogo, to se jednostavno tako ne radi ;)

Inace od ddos-a je nemoguce da se odbranite jer jednostavno tako je internet koncipiran, ako bilo ko tvrdi suprotno taj ne razume osnove.
Neki napadi samo mogu da se ublaze, ali efektivno je nemoguce da se ddos spreci u potpunosti.

Poz

Odgovor na temu

alex
Aleksandar Radulovic
Senior Software Engineer, Spotify
Stockholm, Sweden

Član broj: 71
Poruke: 2194
*.du.xdsl.is.

Jabber: alex@a13x.info
ICQ: -1
Sajt: www.a13x.info

+1 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 21:57 - pre 241 meseci}

web_Killer:

Prvo, metoda nije deny all, citaj malo pazljivije.

Drugo, ovo nema nikakve veze sa ddos napadima, vec brute force napadom na ssh servis (da li si procitao o cemu se prica u ovoj temi?), sto je druga prica.

Trece, odbrana od (d)dos napada se ne resava na nivou sshd servisa na linux masini.

Na kraju, jaaaako bih voleo da me prosvetlis kako se to radi. Bas bih voleo da cujem tvoje eeekspertsko misljenje na tu temu.

Alex: My favorite site is http://localhost/
R.J. Oppenheimer: "I am become death, destroyer of worlds" (1945 AD)
tweet.13x ||
linkedin.13x

Odgovor na temu

mkdsl

Član broj: 28910
Poruke: 796
212.62.46.*

+10 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 22:04 - pre 241 meseci}

Citat:

TiXo: hm, ovde se više ne govori o zaštiti servisa na bruteforce napad, već o politici korišćenja resursa, ako imaš neodgovorne korisnike/radnike/isl neće ti pomoći nikakva zaštita.

Pomoci ce mi to shto im necu dozvoliti da key sa svog rachunara zloupotrebi neko drugi. To je bukvalno poklanjanje naloga neovlashcenoj osobi.

Citat:

Veseljak uvek može svoju knock sekvencu i user/pass da zapiše u .txt i da to ostavlja po desktopima u internet kafeima, isl...

A mozhe i da kazhe svom drugaru, pa drugar kazhe drugom drugaru... Shto se svodi manje vishe na isto... Ali tad bar znam da je moj sistem siguran, tachnije da JA nisam omogucio trecoj osobi da neovlashceno koristi nalog.

Citat:

A šta sve i kako može da zloupotrebi i "ukrade" lokalni admin (admin drugog shell servera, internet kafea, isl) od "letećeg" korisnika nema smisla ni nabrajati...

Bash zbog toga...

Citat:

Korisnik mora da potpuno bude svestan šta znači njegov secret key i da odgovara ukoliko ga neko zloupotrebi.

Upravo tako.

Citat:

weB_KiLeR: @Alex

Inace od ddos-a je nemoguce ...

???!? Poenta?

@ Alex,

bez nervoze, please

. Apsolutno te razumem

Odgovor na temu

weB_KiLeR

Član broj: 238
Poruke: 1317
*.3dnet.co.yu.

Profil

Re: Napadi na SSHD i evo kako to spreciti

^{24.06.2005. u 22:52 - pre 241 meseci}

Rasprava sa vama nema poente, uzgred alex znam o cemu se radi i ove 2 teme su usko vezane, a tvoja secure metoda me odusevljava, najlakse je zabraniti sav saobracaj sa odredjenih lokacija...

Odgovor na temu

caboom
Igor Bogicevic
bgd

Član broj: 255
Poruke: 1503
*.nyc.res.rr.com.

ICQ: 60630914

+1 Profil

Re: Napadi na SSHD i evo kako to spreciti

^{25.06.2005. u 02:30 - pre 241 meseci}

hm, sto se kljuceva tice, nije problem staviti passphrase na key auth i isto tako zabraniti login/PAM autentifikaciju. sa druge strane, moguce je menjati neke od block-ova u raznim cipherima i time praviti jedinstveni klijent/server par, ali nisam siguran koliko je to pametno posto se time slabi sam algoritam. elem, mislim da je firewalling ponajbolje resenje ako se serveru pristupa sa fiksnih adresa, svakako mnogo bolje nego ostaviti ga na dobar dan. podsetio bih na predivna desavanja sa openssl-om i openssh-om pre par godina kada je mesec dana sve bilo busno i exploiti su nadirali svakih par dana. ne bih se pouzdao u tradicionalno supalj sw, vec bih se drzao suptilnijih metoda...

OV SM
LA PK

Odgovor na temu

littleboy
/home/sasa

Član broj: 14387
Poruke: 514
*.teol.net.

ICQ: 46124351
Sajt: littleboy.geek.rs.ba

Profil

Re: Napadi na SSHD i evo kako to spreciti

^{25.06.2005. u 03:12 - pre 241 meseci}

Ko prica o ddosu ?

Ne moguce je 100 % zastiti masinu od ovakvih napada, mozes da koristis knockd, ali ponovo postoji rizik, kao i kod public keyeva.. i ostalih metoda.
Zato sam i rekao da je najbolje da se osigura masina prvo, pa onda tek tamo neke sshd zastite i slicno..a password da bude na odgovornost korisnika.

\x47 \x6f \x64 \x20 \x6d \x61 \x64 \x65 \x20 \x70 \x6f \x74 \x2e \x20 \x4d
\x61 \x6e \x20 \x6d \x61 \x64 \x65 \x20 \x62 \x65
\x65 \x72 \x2e \x20 \x57 \x68 \x6f \x20 \x64 \x6f \x20 \x79 \x6f \x75 \x20
\x74 \x72 \x75 \x73 \x74 \x20 \x3f

Odgovor na temu