क्या कोई मेरे पासवर्ड को तोड़ रहा है? sshd: अज्ञात [net] और sshd: [स्वीकृत] htop में चमकती

9

अपने VPS लगभग 3% सीपीयू लोड, जो शायद के कारण होता है है sshd: unknown [net]और sshd: [accepted]आदेशों एक बार प्रति सेकंड के आसपास प्रदर्शित होने और जल्दी में गायब htop।

क्या इसका मतलब है कि कोई मेरे पासवर्ड को विफल करने की कोशिश कर रहा है? मैं इसके बारे में क्या करूँ?

ssh vps

— अलेक्सी एवरचेंको
स्रोत

अपने लॉग को देखने का प्रयास करें।

— माइकल हैम्पटन

हां, वे डिक्शनरी पर आधारित ब्रूटफोर्मिंग कर रहे हैं :(

— एलेक्सी एवेर्चेको

5

चेक अपने /var/log/auth.logअगर किसी को आप पर हमला करने की कोशिश कर रहा है आप असफल प्रयासों की एक उच्च संख्या देखना चाहिए। इसे आमतौर पर इंटरनेट बैकग्राउंड शोर के रूप में जाना जाता है ।

आप OSSEC की तरह एक मेजबान आधारित घुसपैठ पहचान प्रणाली स्थापित कर सकते हैं और अस्थायी रूप से आईपी पते को अवरुद्ध करने के लिए सक्रिय प्रतिक्रिया को सक्षम कर सकते हैं।

— लुकास कॉफ़मैन
स्रोत

1

root 5277 1.0 0.0 72228 3488 ? Ss 08:39 0:00 sshd: root [priv] sshd 5278 0.0 0.0 51472 1432 ? S 08:39 0:00 sshd: root [net], क्या इसका मतलब कुछ सर्वर तक पहुंच प्राप्त करना है?

— जे बॉर्न

9

अपने /var/log/auth.log की जाँच करें
विफलता 2ban और ऑटोबैन ssh bruteforcers स्थापित करें। आप /etc/fail2ban/jail.conf संपादित कर सकते हैं:
```
[ssh]

enabled = true
port    = 22
filter  = sshd
logpath  = /var/log/auth.log
bantime = -1
maxretry = 5
```

— वालेरी विक्टोरोव्स्की
स्रोत