22 पोर्ट एसएसएच ले जाने या नहीं करने के लिए

मैं SSH पोर्ट को पोर्ट करने की आवश्यकता के बारे में तीन महीने पहले एक चर्चा पर अड़ गया। बहुत सारे चर्चा प्रतिभागियों को आश्वस्त किया जाता है कि पोर्ट को गैर-मानक पोर्ट में स्थानांतरित करने की आवश्यकता नहीं है।

यह कुंजी प्राधिकरण पर स्विच करने और Fail2ban को स्थापित करने के लिए पर्याप्त है, और यह पहले से ही सुरक्षा की गारंटी होगी। दुर्भाग्य से, हम एक वास्तविक और दुनिया में रहते हैं जो लगातार बदल रहा है और प्रस्तावित सुरक्षा उपाय अब हमेशा पर्याप्त नहीं हैं।

आइए देखें - कुंजी प्राधिकरण ने दो अपेक्षाकृत सुरक्षित ssh कुंजियाँ छोड़ दीं - RSA-4096 और ED25519, DSA कुंजियाँ अब OpenSSH के नवीनतम संस्करणों में शामिल नहीं हैं। उसी समय, किसी को भी दिलचस्पी रखने के लिए ED25519, Google की विश्वसनीयता के बारे में इंटरनेट पर कुछ संदेह की उपस्थिति को ध्यान में रखना चाहिए।

कुंजियों के अलावा, कम से कम विभिन्न मामलों और संख्याओं में यादृच्छिक पात्रों से आपकी कुंजियों के लिए लंबे समय तक पासफ़्रेज़ की सिफारिश की जाती है।

जानवर बल के हमले - संक्षेप में देखें कि क्या होता है अगर आपके मेजबान पर उद्देश्यपूर्ण हमला किया जाता है।

स्टेज 1 - खुले बंदरगाहों सहित मेजबान जानकारी का संग्रह

जानकारी का यह संग्रह हमेशा आपके लॉग में परिलक्षित होता है, उदाहरण के लिए, पोर्ट स्कैनिंग एक कनेक्शन स्थापित किए बिना जा सकता है। Fail2ban यहां बेकार है, यह केवल लॉग प्रविष्टियों पर काम करता है। पहले चरण में, स्थापित सुरक्षा प्रणालियों की निगरानी भी की जा सकती है। उदाहरण के लिए, ब्लॉक करने से पहले प्राधिकरण प्रयासों की संख्या, अवरुद्ध समय निर्धारित किया जाता है।

स्टेज 2 - हैकिंग एसएसएच के माध्यम से सिस्टम तक पहुंचने का प्रयास

हैकिंग के लिए हजारों पतों वाले बोटनेट का उपयोग किया जाता है, और साधारण मामले में स्कैनिंग सैकड़ों और हजारों पतों से फेल 2बान की डिफ़ॉल्ट सेटिंग्स को बायपास करने के लिए जाती है, जिसमें एक गंभीर स्कैन पीड़ित सुरक्षा प्रणाली की सेटिंग्स को ध्यान में रखता है। यहां Fail2Ban भी बेकार है, खासकर यदि SSH 22 पोर्ट पर है और Fail2Ban सेटिंग्स डिफ़ॉल्ट रूप से शेष हैं।

सर्वरों में से एक की मेरी बाहरी परिधि पर, सभी पोर्ट बंद हैं, लेकिन कुछ दिनों में कई हजार होस्ट मानक पोर्ट से कनेक्शन स्थापित करने का प्रयास कर रहे हैं। इसके अलावा, स्कैनिंग कई मिनटों के अंतराल के साथ, एक नियम से, एक पते से जाने वाले पैकेटों को संभव सुरक्षा में ले जाती है।

बेशक, Fail2ban आपके मेजबानों और सेवाओं के लिए गैर-मानक सेटिंग्स के साथ कुछ अन्य सेवाओं की सुरक्षा के लिए प्रभावी हो सकता है।

किसी कारण से, यह हमेशा लगता है कि दूसरा चरण सबसे खतरनाक है, वास्तव में, पहला चरण मेजबान पर संभावित कमजोरियों की तलाश करता है, वे एक साधारण जानवर बल एसएसएच की तुलना में बहुत अधिक खतरनाक हो सकते हैं। एसएसएच को क्यों तोड़ें जब आस-पास भेद्यता के साथ एक खुला दरवाजा हो।

मानक बंदरगाह को बदलने के लिए, SSH सुरक्षा पर एक ताजा बेस्टप्रैक्टिक समीक्षा है, जहां मानक बंदरगाह को बदलने में 8 अंक लगते हैं, कुंजी प्राधिकरण पहला आइटम है और Fail2ban या एनालॉग्स 10 अंक स्थापित कर रहा है। शीर्ष 20 ओपनएसएसएच सर्वर सर्वश्रेष्ठ सुरक्षा अभ्यास ।

SSH पोर्ट को गैर-मानक पर स्विच करने से आपको स्कैन प्रयासों पर नज़र रखने के लिए एक मानक के रूप में मानक पोर्ट का उपयोग करने की अनुमति मिलती है, और लंबे समय तक और सभी पोर्ट के लिए IP पते प्राप्त होते हैं, यह BestPractic लेख में 11 अंक है। स्वाभाविक रूप से, यादृच्छिक पते को न पाने के लिए सफेद पते निर्दिष्ट करना आवश्यक है, ये बेस्टप्रैक्टिकल लेख में 7 और 8 अंक हैं।

इस प्रकार, हम अपने सिस्टम के बारे में जानकारी एकत्र करने की लागत में वृद्धि करते हैं। खुले बंदरगाहों के बारे में जानकारी के लिए हमारे सिस्टम को स्कैन करने में कई हज़ार आईपी पते या महीनों का खर्च आएगा। यदि मेरा SSH पोर्ट संभावित हमलावर को नहीं जानता है, भले ही भेद्यता प्रकट हो, वह इसका उपयोग करने में सक्षम नहीं होगा।