[Linux/Unix] [/Gurus/helpen/newbies]$ ./deel 50

Iemand wat ideeen/tips om ssh meer te beveiligen?

Wil hem vanaf random ip's benaderen.
Heb nu fail2ban en poort 1337, misschien keys?

Fail2ban en een stevig wachtwoord is wmbt voldoende. Alleen keys accepteren zou nog beter zijn denk ik ja. En dingen als je root account blokkeren en geen sudo toestaan.

quote:

Op zaterdag 30 november 2013 23:28 schreef relativity het volgende:
Iemand wat ideeen/tips om ssh meer te beveiligen?

Wil hem vanaf random ip's benaderen.
Heb nu fail2ban en poort 1337, misschien keys?

Passwords, challenge-response, en root login uitzetten in sshd_config, en netjes je OS updates doen, dan zal er niet zo veel misgaan.

quote:

Op zondag 1 december 2013 10:37 schreef KomtTijd... het volgende:
Fail2ban en een stevig wachtwoord is wmbt voldoende. Alleen keys accepteren zou nog beter zijn denk ik ja. En dingen als je root account blokkeren en geen sudo toestaan.

Inderdaad root blokkeren.
Bij mij in de logs zijn het allemaal chinezen die root proberen.

Ik heb nu ook maar eens de poort veranderd, lijkt me ook wat veiliger.

quote:

Op zondag 1 december 2013 10:46 schreef t4rt4rus het volgende:

[..]
Ik heb nu ook maar eens de poort veranderd, lijkt me ook wat veiliger.

Security through obscurity noemen ze dat. Helpt maar zelden eigenlijk. Als iemand gewoon een portscan doet zien ze die poort ook gewoon openstaan en dan proberen ze er echt wel naartoe te ssh'en. De enige reden om een service op een andere poort te draaien is als er twee services conflicteren (bijv. 2 verschillende webservers op 1 server etc.)

Wat vooral van belang is, is dat je inderdaad je SSH zelf goed beveiligt door netjes de (security) updates te doen, sterke passwords gebruikt en eventueel met een certificaat werken als je echt veilig wilt zijn.

quote:

Op zondag 1 december 2013 10:56 schreef nyny83 het volgende:

[..]

Security through obscurity noemen ze dat. Helpt maar zelden eigenlijk. Als iemand gewoon een portscan doet zien ze die poort ook gewoon openstaan en dan proberen ze er echt wel naartoe te ssh'en. De enige reden om een service op een andere poort te draaien is als er twee services conflicteren (bijv. 2 verschillende webservers op 1 server etc.)

Wat vooral van belang is, is dat je inderdaad je SSH zelf goed beveiligt door netjes de (security) updates te doen, sterke passwords gebruikt en eventueel met een certificaat werken als je echt veilig wilt zijn.

Ja ok maar je filtert er al wel allemaal chinezen uit die alle ip's afgaan op poort 22.

[ Bericht 6% gewijzigd door t4rt4rus op 01-12-2013 11:41:11 ]

quote:

Op zondag 1 december 2013 10:56 schreef nyny83 het volgende:

[..]

Security through obscurity noemen ze dat. Helpt maar zelden eigenlijk. Als iemand gewoon een portscan doet zien ze die poort ook gewoon openstaan en dan proberen ze er echt wel naartoe te ssh'en. De enige reden om een service op een andere poort te draaien is als er twee services conflicteren (bijv. 2 verschillende webservers op 1 server etc.)

Poort veranderen helpt prima tegen routinematige scans, die het gros van de aanvallen vertegenwoordigen.

Op de meeste machines zie ik honderden scans per dag op poort 22, maar op een rare poort zie je nooit iemand; daar gaan mensen alleen kijken als ze jou specifiek moeten hebben, en dan vaak nog niet (ze bekijken bijv. alleen de poorten die nmap default meeneemt)

Hier een prima essay over 'security through obscurity as a layer': http://www.danielmiessler.com/study/security_and_obscurity/

Mooi stukje wel. SSH zelf wordt er niet veiliger van, maar je hebt gelijk: het risico wordt minder groot omdat het aantal aanvallers dat je SSH daemon gaat vinden kleiner wordt. Er zitten overigens wel wat nadelen aan qua gebruiksgemak en wellicht het openstellen van firewall regels vanuit andere netwerken.

quote:

Op zondag 1 december 2013 10:41 schreef eleusis het volgende:

[..]

Passwords, challenge-response, en root login uitzetten in sshd_config, en netjes je OS updates doen, dan zal er niet zo veel misgaan.

Heb al een redelijk sterk wachtwoord. Security updates gaan automatisch. Fail2ban staat op permanente ban naar 3 retries.

Root staat wel nog aan, dat vond ik altijd wel handig maar misschien niet zo slim nee.

quote:

Op zondag 1 december 2013 10:46 schreef t4rt4rus het volgende:

[..]

Inderdaad root blokkeren.
Bij mij in de logs zijn het allemaal chinezen die root proberen.

Ik heb nu ook maar eens de poort veranderd, lijkt me ook wat veiliger.

Haha ook al. Ik heb eigenlijk zin om hun ook eens te scannen met nmap en metasploit erover heen te laten

quote:

Op zondag 1 december 2013 10:56 schreef nyny83 het volgende:

[..]

Security through obscurity noemen ze dat. Helpt maar zelden eigenlijk. Als iemand gewoon een portscan doet zien ze die poort ook gewoon openstaan en dan proberen ze er echt wel naartoe te ssh'en. De enige reden om een service op een andere poort te draaien is als er twee services conflicteren (bijv. 2 verschillende webservers op 1 server etc.)

Wat vooral van belang is, is dat je inderdaad je SSH zelf goed beveiligt door netjes de (security) updates te doen, sterke passwords gebruikt en eventueel met een certificaat werken als je echt veilig wilt zijn.

Sinds ik hem op poort 1337 draai heb ik geen scans meer gehad.
Wordt inderdaad nauwelijks op gescand. Ze scannen toch hele ranges in een keer op bepaalde ip's.

quote:

Op zondag 1 december 2013 13:49 schreef nyny83 het volgende:
Mooi stukje wel. SSH zelf wordt er niet veiliger van, maar je hebt gelijk: het risico wordt minder groot omdat het aantal aanvallers dat je SSH daemon gaat vinden kleiner wordt. Er zitten overigens wel wat nadelen aan qua gebruiksgemak en wellicht het openstellen van firewall regels vanuit andere netwerken.

Nee inderdaad, maar het is wel 'meer verborgen' voor standaard poortscans.

Ik heb wel een probleem trouwens:
Vanuit mijn eigen netwerk kan ik makkelijk de poorten forwarden op mijn telefoon.
Maar zo gauw als ik wifi uitzet, werkt het niet meer. Iemand enig idee?

Ik heb in hosts.allow even ALL : ALL gezet, maar nog niks...
ook .kpn.net staat erin, maar krijg nog steeds deze melding:

mainstream@oxytocine-pc:~$ cat /var/log/auth.log

Ik heb bijv guacamole (webdaemon voor vnc lokaal draaien) die ik dan via ssh tunneling kan bereiken. Maar dat werkt niet Alleen binnen mijn netwerk?
Kan het de router zijn die ervoor zorgt dat ik geen verbinding kan maken?

[ Bericht 2% gewijzigd door relativity op 01-12-2013 15:53:02 ]

quote:

Op zondag 1 december 2013 15:46 schreef relativity het volgende:

[..]

Heb al een redelijk sterk wachtwoord. Security updates gaan automatisch. Fail2ban staat op permanente ban naar 3 retries.

Root staat wel nog aan, dat vond ik altijd wel handig maar misschien niet zo slim nee.

Je kan root-logins toestaan vanaf een bepaald netwerk iirc. Maar ik ben voor het uitzetten van root-access. Regel dat via sudo oid.

Ik heb zelf ook een iptables rule voor sshd:

$IPTABLES -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
$IPTABLES -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 30 --hitcount 15 -j DROP

En fail2ban draait ook mee, plus ik heb een x-aantal whitelisted IP adressen in m'n firewall, daarvoor gelden geen ban-regels. Want vanaf thuis/werk vertrouw ik het wel.

Je zou eventueel ook met port knocking kunnen gaan werken. Daar wil ik ook nog eens wat mee gaan doen, maar ben te lui om het uit te zoeken. Paar vuurmuurregels voldoen

Oke bedankt allemaal voor de tips
Heb het nu wel naar tevredenheid draaien.

Heb ook een vpn server geïnstalleerd zodat het wat makkelijk is om alles te bereiken werkt wat eenvoudiger dan poort tunneling e.d.

Voor de volgende:

- SSH op Random-poort ( liefst boven de 1024 )
- Fail2Ban Configgen
- PermitRootLogin = false in sshd config
- Sanity
- More Sanity

quote:

Op zondag 1 december 2013 19:47 schreef HalveZware het volgende:
Voor de volgende:

- SSH op Random-poort ( liefst boven de 1024 )
- Fail2Ban Configgen
- PermitRootLogin = false in sshd config
- Sanity
- More Sanity

Ssh op een hoge poort vind ik persoonlijk een slecht plan. Die poorten kun je openen zonder root..

quote:

Op zondag 1 december 2013 20:17 schreef µ het volgende:

[..]

Ssh op een hoge poort vind ik persoonlijk een slecht plan. Die poorten kun je openen zonder root..

Yeah,so?
je draait je SSHD op je eigen server? en dan? ik zou dan de SSHD vooral niet als root draaien :-) meeteen weer een beveiligings lek gedicht ?

quote:

Op zondag 1 december 2013 20:23 schreef HalveZware het volgende:

[..]

Yeah,so?
je draait je SSHD op je eigen server? en dan? ik zou dan de SSHD vooral niet als root draaien :-) meeteen weer een beveiligings lek gedicht ?

Security by obscurity is een slecht plan.

Zie:
http://www.adayinthelifeo(...)than-22-is-bad-idea/

Als je aan portforwarding hebt gedaan in je router, bv 22 int naar 1000 ext heb je dat probleem toch niet?

quote:

Op zondag 1 december 2013 22:08 schreef AchJa het volgende:
Als je aan portforwarding hebt gedaan in je router, bv 22 int naar 1000 ext heb je dat probleem toch niet?

Klopt, dat lijkt eigenlijk nog de beste mix als ik de stukken een beetje lees. Je beschermt je nog altijd tegen het gros van de simpele routinescans EN je hebt je SSH daemon met de juiste rechten e.d. draaien.

quote:

Op zondag 1 december 2013 21:47 schreef µ het volgende:

[..]

Security by obscurity is een slecht plan.

Zie:
http://www.adayinthelifeo(...)than-22-is-bad-idea/

Je realiseert je hopelijk wel dat deze post ongeveer de grootse combinatie van drogredenen allestijden is?

Here we go...

- Het verschil "root" en "niet root" ( laten we zeggen, Root en User )

Bijna goed, maar als het proces nooit gestart is als root, kan het dus ook niet zomaar ineens spontaan root worden, als dat wel mogelijk is, dan heb je echt VEEL grotere zorgen dan je SSH Server.

- Ja maar iedereen kan >1024 openen...
Jep. ,maar een beetje degelijk MITM aanval kan ook net zo makkelijk onder de 1024...
Stel, jij zit ergens op poort 22 met je SSH Server, je hebt een Router, en iemand vanaf het interwebz die daar naartoe connect.... die router is stiekem net zo brak als de blogpost die jij linkt, dan kun je het verkeerd op poort 22 net zo goed modificeren als poort 2048 of poort 5817

- Software verwacht SSH op poort 22
Als je software niks anders vreet, dan zou ik je serieus eens achter je oren krabben en jezelf de vraag stellen, moet ik niet eens wat beters gaan zoeken.

- Firewalls
Als jij vanaf publieke AccesPoints of bedrijfsnetwerken zomaar naar een machine SSH't op het internet zou ik je nog eens gaan inlezen over hoe het internet en TCP/IP werkt, Verder zou ik mensen die niet nadenken dit soort problemen het zelfde achterlijke advies willen geven als deze matige blogger. verbied ze een computer te gebruiken ( die opmerking is echt )

- Vervolgens komt meneer zelf met een "security by obscurity" aan...
Waarbij gebruikt hij {$IPTABLES} wat natuurlijk ook een vaag excuus is voor "ik weet eigenlijk niet hoe ik moet coden, maar ik ga tof doen met ongedefinieerde variabelen om slim over te komen"

Dus, nee... klakkeloos dit blogje geloven gaat niet helpen.

Edit: Kleine edit, ik val hier de user Micro niet aan, maar die blogger is wel echt een F-Tard....

quote:

Op zondag 1 december 2013 20:17 schreef µ het volgende:

[..]

Ssh op een hoge poort vind ik persoonlijk een slecht plan. Die poorten kun je openen zonder root..

Dus? Je kan sshd dan non-root draaien. Omder Solaris 10 en up kan je non-root users rechten geven om op poorten < 1024 te laten openen. Zo kan je dus procs laten draaien zonder root permissies, which is a good thing.

quote:

Op maandag 2 december 2013 07:12 schreef slacker_nl het volgende:

[..]

Dus? Je kan sshd dan non-root draaien. Omder Solaris 10 en up kan je non-root users rechten geven om op poorten < 1024 te laten openen. Zo kan je dus procs laten draaien zonder root permissies, which is a good thing.

Volgens mij draaien <1024-services eerst als root en droppen ze daarna hun privileges...

quote:

Op maandag 2 december 2013 08:28 schreef µ het volgende:

[..]

Volgens mij draaien <1024-services eerst als root en droppen ze daarna hun privileges...

Lang niet altijd dus

quote:

Op zondag 1 december 2013 19:47 schreef HalveZware het volgende:
Voor de volgende:

- SSH op Random-poort ( liefst boven de 1024 )
- Fail2Ban Configgen
- PermitRootLogin = false in sshd config
- Sanity
- More Sanity

AH mooi, dan zit ik momenteel wel goed

Pak je sshd_config en doe hetvolgende:



En ga dan vanaf je ip.add.ress het volgende doen: