,ich bin mir nicht sicher, ob ich hier mit meinem Problem so richtig bin, dennoch werde ich mal schildern, was mich in letzter Zeit beunruhigt,
Ich bin seit geraumer Zeit in dem Besitz eines Root Servers, jedoch plagen mich seit einiger Zeit massenhafte Login-versuche über SSH, zuerst hab ich dies gar nicht wirklich wahr genommen, bis mir über Nettop aufgefallen ist, dass der SSH Traffic mit mehreren GBytes mir etwas zu groß erscheint.
Die unglaublich große auth.log (/var/log/) machte mich denn zu tiefst misstrauisch, es waren unzählbar viele, automatisierte Versuche unternommen worden sich Zugriff auf den Server über SSH zu verschaffen.
Nach kurzer Suche mit Google, bin ich auf das Programm fail2ban gestoßen, hab es konfiguriert, und lasse mir jedesmal eine E-Mail schicken, wenn jemand zwei Fehlerhafte SSH-Login Versuche hat, diese IP wird ebenfalls für die nächsten 60 Minuten gesperrt.
Naja... denn hab ich also täglich um die 30 EMails bekommen, wobei es selten vorkam, dass eine IP doppelt war. Um dies ein bisschen einzudämmen, hab ich Länder wie China oder Korea mit Hilfe von iptabels ausgesperrt, da die meisten Angriffe von dort stammten.
Keine sehr "saubere" Lösung, aber die Anzahl der Loginversuche minimierte sich, nun sind es "nur noch" zwischen 5 und 10.
Auch wenn das Passwort mehr als 16 bunt durchmischte Zeichen beinhaltet, ist es trotzdem kein schöner Nachgeschmack, die Bestätigung zu haben, dass ein Botnet einem an die Tür klopft.
Informationen zum Server:
uname -a:
Linux [meinedomain.tdl] 2.6.32-5-amd64 #1 SMP Mon Feb 25 00:26:11 UTC 2013 x86_64 GNU/Linux
Linux Debian-60-squeeze-64-minimal
Anbindung: 100mbit/s; Hetzner: RZ10
Der Server wird nur für Virtualisierung mit VirtualBox für Private Zwecke verwendet, dabei verwende ich PHPVirtualBox für die Verwaltung, auf einem Apache2 Webserver, mit abgeänderten Port und kryptischen Ordnernamen.
Meine Frage ist nun ob es eine gute Möglichkeit gibt die Angriffe abzuwehren oder es zumindest für den Angreifer schwerer zu machen. Dabei ist zu erwähnen, dass ich mich auch von den verschiedensten Orten über SSH anmelde und mein eigener Internet Provider darüber hinaus meinem Privaten Internet Anschluss jeden Tag eine neue IP zuordnet, wie es üblich ist.
Ich freue mich auf Eure Antworten und bedanke mich schon mal im Voraus.
