保護web服務器免受ssh暴力攻擊

Question

我有一臺服務器充當反向代理直接連接到互聯網。我通過非標準端口上的ssh訪問此計算機。它似乎不太安全。如果有人發現了ssh端口，他們可以暴力破解並訪問計算機。

是否有更安全的方法來配置此？

Answer 1

我會推薦一個像denyhosts或sshguard這樣的工具，它會根據您設置的規則監視登錄失敗的登錄情況並自動禁止IP。

Answer 2

蠻力強制SSH是非常緩慢和耗時的設計。使用OpenSSH（大多數實現類似）在提交不正確的密碼後會有幾秒的延遲。三次失敗後，連接將被丟棄。這使得暴力甚至適度熵的密碼變得難以置信地緩慢。一般來說，只要你的服務器沒有大量的線程接受連接，並且你的密碼足夠複雜，那麼SSH的強制性強制就不是問題。

儘管@嫺靜的使用denyhosts或sshguard的建議不僅讓你放心，還可以幫助你檢測攻擊並在必要時採取行動。 @史蒂夫建議使用公鑰認證也是一種很好的預防措施。如果你是真正的偏執狂，考慮增加密碼和公鑰認證實現two-factor authentication. Something you have and something you know.

Answer 3

蠻力的SSH攻擊，可以從服務器吮吸資源。對於處理器（CPU）和內存（RAM）數量最少的低功耗服務器，問題可能尤其令人惱火。

我們開發了一個解決方案，下載已知SSH攻擊者的IP地址黑名單，並將它們添加到/etc/hosts.deny文件中。

該解決方案作爲GitHub上名爲am-deny-hosts的開源項目發佈。該項目由一組shell腳本組成，這些腳本在不佔用大量時間，CPU或內存的情況下執行作業。