Útok scannerů na vítkův server

[Esavojt]

Na vítkův server se snažilo připojit více než 500 neznámých IP adres, které byly zablokované pomocí programu connectban (Přidání dne 13.3.2022). Dnes jsem se připojil na server a zjistil jsem, že se snažilo připojit více než 500 ip adres, ale také se začali dobývat na ssh (přesunuto na port 2200). Záznam-auth.txt

[Esavojt]

Další možné posunutí ssh portu by zas tak nepomohlo, museli by se taky uživatelé proškolit o změně.

Nyní budu pracovat na programu, který proskenuje soubor /var/log/auth.log, aby našel případné útočníky a poté je přidá jako iptables DROP pravidlo.

[Esavojt]

Prohlédl jsem záznamy /var/log/apache2/access.log a to jsou docela populární stránky, chtěl jsem si alespoň s těma skenerama pohrát, tak jsem nastavil 404 stránku jako 200 a také změnil Server HTTP header na "PotatoHTTP".

[Esavojt]

Vytvořena aplikace ssh-jail, která co x počet minut proskenuje /var/log/auth.log soubor, pomocí regex získá možné útočníky a přidá je jako DROP pravidlo v iptables.

Implementováno na Vítkův server.

[Esavojt]

Vítkův web server přesunut do docker containeru spolu s openssh serverem nastaveným na přihlášení pouze přes klíče