Ponieważ dostęp SSH jest najważniejszym punktem wejścia do administrowania serwerem, stał się szeroko stosowanym wektorem ataków.
Podstawowe kroki w celu zabezpieczenia SSH obejmują: wyłączenie dostępu roota, całkowite wyłączenie uwierzytelniania hasła (i zamiast tego używanie kluczy) oraz zmianę portów (niewiele wspólnego z bezpieczeństwem, z wyjątkiem minimalizacji typowych skanerów portów i spamu w dzienniku).
Następnym krokiem byłoby rozwiązanie zapory ogniowej PF ze śledzeniem połączeń. To rozwiązanie zarządza stanami połączeń i blokuje każdy adres IP, który ma zbyt wiele połączeń. Działa to świetnie i jest bardzo łatwe w PF, ale demon SSH jest nadal narażony na działanie Internetu.
Co powiesz na to, aby SSH było całkowicie niedostępne z zewnątrz? To jest miejsce, gdzie przychodzi spiped . Ze strony głównej:
Spiped (wymawiane „ess-pipe-dee”) to narzędzie do tworzenia symetrycznie zaszyfrowanych i uwierzytelnionych potoków między adresami gniazd, aby można było połączyć się z jednym adresem (np. Gniazdem UNIX na localhost) i transparentnie nawiązać połączenie z innym adres (np. gniazdo UNIX w innym systemie). Jest to podobne do funkcji „ssh -L”, ale nie korzysta z SSH i wymaga wstępnie współdzielonego klucza symetrycznego.
Świetny! Na szczęście dla nas, ma wysokiej jakości pakiet OpenBSD, który wykonuje dla nas całą pracę przygotowawczą, więc możemy zacząć od instalacji:
sudo pkg_add spiped
Spowoduje to również zainstalowanie dla nas fajnego skryptu inicjującego, abyśmy mogli kontynuować i włączyć go:
sudo rcctl enable spiped
I wreszcie zacznij:
sudo rcctl start spiped
Skrypt init upewnia się, że klucz został dla nas utworzony (który za chwilę będziemy potrzebować na komputerze lokalnym).
To, co musimy teraz zrobić, to wyłączyć sshdsłuchanie na adresie publicznym, zablokować port 22 i zezwolić na port 8022 (który jest domyślnie używany w rozproszonym skrypcie init).
Otwórz /etc/ssh/sshd_configplik i zmień (i odkomentuj) ListenAddresswiersz do przeczytania 127.0.0.1:
ListenAddress 127.0.0.1
Jeśli używasz reguł PF do blokowania portów, pamiętaj, aby przekazać port 8022 (i możesz pozostawić port 22 zablokowany), np .:
pass in on egress proto tcp from any to any port 8022
Ponownie załaduj reguły, aby były aktywne:
sudo pfctl -f /etc/pf.conf
Teraz wszystko, czego potrzebujemy, to skopiowanie wygenerowanego klucza rozproszonego ( /etc/spiped/spiped.key) z serwera na komputer lokalny i dostosowanie naszej konfiguracji SSH, coś w następujący sposób:
Host HOSTNAME
ProxyCommand spipe -t %h:8022 -k ~/.ssh/spiped.key
Oczywiście musisz również spipe/spipedzainstalować na komputerze lokalnym. Jeśli skopiowałeś klucz i zmieniłeś nazwy / ścieżki, powinieneś być w stanie połączyć się z tą ProxyCommandlinią w swoim ~/.ssh/configpliku.
Po potwierdzeniu, że działa, możemy ponownie uruchomić sshdserwer:
sudo rcctl restart sshd
I to wszystko! Teraz całkowicie wyeliminowałeś jeden duży wektor ataku i masz mniej usług nasłuchujących na publicznym interfejsie. Wygląda na to, że Twoje połączenia SSH pochodzą z hosta lokalnego, na przykład:
username ttyp0 localhost Thu Nov 06 07:58 still logged in
Zaletą korzystania z Vultr jest to, że każdy Vultr VPS oferuje przyjemnego internetowego klienta typu VNC, z którego możemy skorzystać w przypadku, gdy przypadkowo się zablokujemy. Eksperymentuj!
Używasz innego systemu? TextPattern CMS 4.6.2 to prosty, elastyczny, bezpłatny i otwarty system zarządzania treścią (CMS), który umożliwia projektantom stron internetowych
Używasz innego systemu? NodeBB to oprogramowanie forum oparte na Node.js. Wykorzystuje gniazda sieciowe do natychmiastowych interakcji i powiadomień w czasie rzeczywistym. NodeB
Jeśli korzystasz z własnego programu tłumaczącego lub chcesz użyć jednego z zewnętrznych dostawców usług, może się okazać, że plik /etc/resolv.conf jest zastępowany przez DHCP
Używasz innego systemu? X-Cart to niezwykle elastyczna platforma eCommerce typu open source z mnóstwem funkcji i integracji. Kod źródłowy X-Cart jest hostem
Wprowadzenie WordPress to dominujący system zarządzania treścią w Internecie. Obsługuje wszystko, od blogów po złożone witryny z dynamiczną treścią
Wprowadzenie W tym samouczku pokazano OpenBSD jako rozwiązanie e-commerce wykorzystujące PrestaShop i Apache. Wymagany jest Apache, ponieważ PrestaShop ma złożony UR
Używasz innego systemu? Anchor CMS to bardzo prosty i niezwykle lekki, darmowy i otwarty system zarządzania treścią (CMS) Blog Engine, który
Używasz innego systemu? Tiny Tiny RSS Reader to darmowy i oparty na otwartych źródłach, internetowy host czytnika i agregatora kanałów informacyjnych (RSS / Atom), przeznaczony do przydzielania
Używasz innego systemu? WonderCMS jest otwartym, szybkim i małym, płaskim plikiem CMS napisanym w PHP. Kod źródłowy WonderCMS jest hostowany na Github. Ten przewodnik wil
Używasz innego systemu? TLS 1.3 to wersja protokołu Transport Layer Security (TLS), która została opublikowana w 2018 roku jako proponowany standard w RFC 8446
Używasz innego systemu? Dolibarr to oprogramowanie do planowania zasobów przedsiębiorstwa (ERP) i zarządzania relacjami z klientami (CRM) dla firm. Dolibarr
Używasz innego systemu? Paste 2.1 to prosta i elastyczna, darmowa i otwarta aplikacja pastebin do przechowywania kodu, tekstu i innych. To było początkowo
Używasz innego systemu? BigTree CMS 4.2 to szybki i lekki, bezpłatny i otwarty system zarządzania treścią dla przedsiębiorstw (CMS) z rozbudowanym
Po wyjęciu z pudełka serwery Vultr FreeBSD nie są skonfigurowane tak, aby zawierały przestrzeń wymiany. Jeśli twoja intencja dotyczy jednorazowego wystąpienia chmury, prawdopodobnie nie jest to konieczne
W tym artykule pokażę, jak zainstalować MariaDB na OpenBSD 6 i skonfigurować, aby był dostępny dla chrootowanego serwera WWW (Apache lub Nginx). Będziesz także
Wprowadzenie Stos FAMP, który jest porównywalny ze stosem LAMP w systemie Linux, to zbiór oprogramowania typu open source, które zazwyczaj instaluje się razem
Używasz innego systemu? DokuWiki to program wiki typu open source napisany w PHP, który nie wymaga bazy danych. Przechowuje dane w plikach tekstowych. DokuWik
Ghost to najnowszy i najlepszy start w rywalizacji z WordPress. Tworzenie motywów jest szybkie i łatwe do nauczenia się, ponieważ twórcy Ghost zdecydowali się użyć obu
Używasz innego systemu? Lychee 3.1 Photo Album to proste i elastyczne, bezpłatne i otwarte narzędzie do zarządzania zdjęciami, które działa na serwerze VPS. Instaluje się
Podczas aktualizacji instancji VPS na Vultr system plików Linux jest automatycznie zmieniany. Podczas uruchamiania FreeBSD z zaawansowanym systemem plików ZFS, niektóre ręczne
Przeczytaj blog, aby w najprostszy sposób poznać różne warstwy w architekturze Big Data i ich funkcjonalności.
Chcesz zobaczyć rewolucyjne wynalazki Google i jak te wynalazki zmieniły życie każdego człowieka dzisiaj? Następnie czytaj na blogu, aby zobaczyć wynalazki Google.
13 komercyjnych narzędzi do ekstrakcji danych z Big Data
Whatsapp w końcu uruchomił aplikację Desktop dla użytkowników komputerów Mac i Windows. Teraz możesz łatwo uzyskać dostęp do Whatsapp z systemu Windows lub Mac. Dostępne dla Windows 8+ i Mac OS 10.9+
Energia jądrowa jest zawsze pogardzana, nigdy jej nie szanujemy z powodu przeszłych wydarzeń, ale nie zawsze jest zła. Przeczytaj post, aby dowiedzieć się więcej na ten temat.
Koncepcja autonomicznych samochodów, które wyjadą na drogi za pomocą sztucznej inteligencji, to marzenie, które mamy już od jakiegoś czasu. Ale pomimo kilku obietnic nigdzie ich nie widać. Przeczytaj ten blog, aby dowiedzieć się więcej…
Wzrasta liczba ataków ransomware, ale czy sztuczna inteligencja może pomóc w radzeniu sobie z najnowszym wirusem komputerowym? Czy AI jest odpowiedzią? Przeczytaj tutaj, wiedz, że sztuczna inteligencja jest zmorą lub zgubą
Sztuczna inteligencja nie jest dla ludzi nową nazwą. Ponieważ sztuczna inteligencja jest włączona do każdego strumienia, jednym z nich jest opracowywanie narzędzi zwiększających ludzką wydajność i dokładność. Skorzystaj z tych niesamowitych narzędzi uczenia maszynowego i uprość swoje codzienne zadania.
Zawsze potrzebujemy Big Data Analytics do efektywnego zarządzania danymi. W tym artykule omówiliśmy kilka technik analizy Big Data. Sprawdź ten artykuł.
Czy jesteś również ofiarą ataków DDOS i nie masz pewności co do metod zapobiegania? Przeczytaj ten artykuł, aby rozwiązać swoje pytania.
