Ataque ao meu servidor?? força brua?

fredcrs
(usa Debian)

Enviado em 07/01/2009 - 15:07h

Pessoal tenho um VPS para fins de estudos e testes da empresa vpslink e então ultimamente recebi pela segunda vez um e-mail dizendo o seguinte:

> > The remote system "meu ip" was found to have exceeded> > acceptable login failures on server1.stressendshere.com; there was 91> > events to the service sshd. As such the attacking host has been> > banned from further accessing this system. For the integrity of your> > host you should investigate this event as soon as possible.> > > > Executed ban command:> > /etc/apf/apf -d "meu ip" {bfd.sshd}


dae tem uma grande lista do tipo:


> > Jan 4 14:31:49 server1 sshd[1253]: Did not receive identification> > string from "meu ip"
> > Jan 4 17:35:08 server1 sshd[29539]: Failed password for root from> > "meu ip" port 4434 ssh2
> > Jan 4 17:35:08 server1 sshd[29539]: Received disconnect from> > "meu ip": 11: Bye Bye
> > Jan 4 17:35:12 server1 sshd[29541]: Failed password for root from> > "meu ip" port 4536 ssh2


a pergunta é a seguinte: alguem esta tentando entrar no meu servidor pelo ssh em diversas portas? sendo que meu ssh esta na porta 22 mesmo.

O estranho é que depois desses "ataques" eu nao consigo entrar no ssh por ele...tenho que entrar no centro de controle e então reboot. dai sim consigo entrar.
Gostaria de saber também se existe algum log que posso consultar.
Ah o meu servidor é Debian

Obrigado a todos!

marcio68almeida
(usa Debian)

Enviado em 07/01/2009 - 15:22h

Antes de mais nada, nunca permita que se entre como root via ssh, é um problema de segurança muito grande, por mais complexa que seja a sua senha...

fredcrs
(usa Debian)

Enviado em 07/01/2009 - 16:12h

como desabilitar o ssh do usuario root??

e quanto os ataques, existe algum log que eu possa consultar ou vc sabe oq deve estar acontecendo??

ST. RaLF
(usa Arch Linux)

Enviado em 07/01/2009 - 16:19h

No arquivo /etc/ssh/sshd_conf alterar a linha "PermitRootLogin yes" para "PermitRootLogin no"

fredcrs
(usa Debian)

Enviado em 08/01/2009 - 10:13h

certo, obrigado

e como eu posso banir alguem do meu servidor? o melhor seria criar uma regra de firewall para esse endereco? (no caso eu posso por o endereco algo.algumacoisa.com ou tem q ser o IP mesmo?)