allgemein: Chinesen versuchen ssh login

Hallo,

Angriffe auf ssh sind nicht nur lästig und füttern die Logdateien, sondern kosten auch noch Bandbreite. Aber dagegen kann man was unternehmen.

Öffne mit einem Editor deiner Wahl und Rootrechten die Datei /etc/ssh/sshd_config

Hier solltest Du unbedingt Root verbieten sich per ssh einzuloggen zu können.

Ändere den Parameter PermitRootLogin von yes auf no

Kein Benutzer braucht ewig, um sich einzuloggen, also um Benutzername und Passwort einzugeben. Jeder gestartete sshd-Task braucht aber Speicher und Rechenzeit. Also gibt man mit

LoginGraceTime 60

eine Minute Timeout vor. Hat sich 60 Sekunden nach Verbindungsstart noch niemand korrekt eingeloggt, wird der Task beendet. Natürlich ist hier auch ein noch kürzerer Wert möglich. Aber berücksichtige immer, daß dein Server auch einmal überlastet oder das Intenet gerade langsam sein kann und die Kommunikation mit dem sshd deshalb verzögert wird. Da kann es äußerst lästig werden, wenn der Timeout zu schnell zuschlägt.

Das ursprüngliche SSH-Protokoll Version 1 ist veraltet und hat einige bekannte Sicherheitsmängel. Deswegen solltest du  nur Protokoll-Version 2 zulassen. Die Zeile

Protocol 2

sorgt dafür.

Um zu verhindern, daß durch einen Hackversuch hunderte sshd-Tasks gleichzeitig gestartet und der Rechner dadurch evtl. in die Knie gezwungen wird, gibt es einen sehr nützlichen Parameter. Fügen dazu die Zeile

MaxStartups 3:30:10

in das Configfile ein.

Diese Beschränkung ist äußerst effektiv, aber etwas kompliziert zu verstehen: Die Werte im Beispiel bedeuten, daß 2 (= 1. Wert minus 1) "unauthenticated" (also im Login-Stadium befindliche) sshd-Verbindungen immer erlaubt sind. Ab der 3. (= 1. Wert) Verbindung wird mit einer Wahrscheinlichkeit von 30% (2. Wert) die Verbindung abgelehnt. Diese Wahrscheinlichkeit steigt linear an, bis bei 10 (3. Wert) offenen Verbindungen jeder weitere Verbindungsversuch zu 100% abgelehnt wird.

Die meisten Angriffe laufen auf den SSH Standardport 22. Verbiege ihn einfach auf einen anderen z.B. Port 26 mit der Zeile

Port=26

Beachte aber dass nun beim Verbindungsaufbau per ssh der Port mit angegeben werden muss. Beispiel:

ssh -p26 benutzername@servername

Verbiete auch in der Firewallkonfiguration unbedingt Portscans, sonst bringt die Änderung des Ports nichts.

Lange nicht alle Benutzer eines Systems müssen sich per SSH anmelden können. Der Parameter AllowUsers definiert, welche Nutzer erlaubt sind. Alle nicht genannten bleiben ausgesperrt. Beispiel:

AllowUsers klaus martin hans marion

Bleibt noch den sshdienst nach den Änderungen neu zu starten damit sie auch wirksam werden können. ( /etc/init.d/sshd restart bzw. rcsshd restart bei Suse )

Denke das reicht fürs Erste.

Have Fun

vielen Dank für diese ausführliche Antwort ... ich hab zwar jetzt schon woanders ein klein wenig etwas dazu gelesen, allerdings noch nicht so ausführlich die Beschreibung der config ... Danke! Das erspart mir viel Arbeit!

Gruß Maddin