Én sem tartom nyílvánvalónak hogy a sulixot törték meg, de több infó is kell: Fut rajta saját weboldal? A sulixisok találtak bármit ami erre utal? Egy komolyabb tűzfalon el kell gondolkodni már most. Az ssh hoz a sulixon kell kulcsot feltölteni, gyenge a jelszavad? Ki kellene deritened hogy ha nem a szerver akkor mi a ludas. Van más szerver?
2016.12.13. 17:18 ezt írta ( <[email protected]>): > > Halas temakor, mert mindenki, aki mar latott ssh-t, az szakember benne, > kabe, mint a tizmillio focibiro, bevandorlasi szakerto, stb. En is, > nyilvan. De mielott egyatlaan elkezdek gondolkodni, egy kis logikai gubanc > van a leveledben. > > Kiemelnem a lenyeget: > > A support beállította, hogy csak kulcs hitelesítést fogadjon el. >> > [...] > >> Akkor hirtelen az jutott eszembe, leállítottam rajta az ssh >> > [...] > >> [Fri Dec 9 03:12:39 2016] Failed password for invalid user docker from >> külső IP-m port 6920 ssh2 >> > > > Szoval amit nem teljesen ertek, hogy a lokalis SSH beallitasoknak (csak > kulcs, vagy jelszo is stb), valamint annak, hogy egyatalan fut-e az ssh, mi > koze van ahhoz, hogy a tuloldalra sshznak ki a te gepedrol? > > Mert szerintem semmi. Tokmindegy, milyen beallitasokat valtoztatsz meg az > sshd -nal, sot, az is tokmindegy, hogy az sshd egyatalan fut-e, attol meg > kifele lehet sshzni. Sot, tovabb megyek. > > Bar valoszinu, hogy a sulixod ludas lehet, de a logokban amit bemasoldal, > csak a publikus ip cimedre volt utalas. Felteszem, hogy a halozatodban > barhol ha van egy gep, ha az kilat internetre, akkor ugyanazon az IP cimen > latszik a NAT miatt. > > A kerdes tehat adodik: miert vagy benne biztos, hogy a sulixodat tortek > fel? Barmelyik masik belso gepet ha feltortek, vagy arrol mokas kedvu > egyenek kiserleteztek, esetleg egy mar feltort gepet (trojaival) bevittek a > halozatodba, kivulrol ezek egymastol megkulonboztethetetlenek. > > A fentiek tukreben az elhamarkodott lepesektol (mint pl. ssh leallitasa) > ova intenelek, mert az eddigiek alapjan nem varhato, hogy eredmenyt ernel > el vele, de legalabb cserebe a hibakeresest sem segiti. > > En a kovetkezoket tennem a helyedben > > 1) atmenetileg az ssh-t kifele csak egyetlen belso ip cimrol engednem (ami > esetleg egy friss ures linux) > 2) erre a linuxra mindenkinek adnek accot, esetleg ldap / ad komboval > automatikusan lenne mindenkinek > 3) barki, aki legitim okbol kifele ssh-zik, atmenetileg ezen a gepen at > kell azt tegye (jumphost) > 4) neznem a logokat, milyen belso ip cimrol megy kifele szokatlan > mennyisegu ssh > 5) azon a gepen neznek szet > 6) miutan megoldottam, ujra megnyitnam az ssh-t publikusan es > megszuntetnem a jumphostot > > valoszinuleg amugy annyi tortent, hogy > > a) valaki bevitt egy fertozott gepet, a sulixodhoz semmi koze > b) tenyleg megtortek egy vagy tobb szervered, de akkor nem az ssh-t kell > leallitanod, hanem azt amin keresztul megtortek. nyilvan ezt ki kell > deritened, hogy mi volt, valoszinuleg egy webszerveren at feltoltottek > valami php kodot ami sshzik kifele (es meg ki tudja mi mast csinal) > > Ha a gondolatmenetem helyes (es szerintem az, kulonben nem kuldenem be egy > listara) akkor ova intelek mindenkitol aki a te sajat sshd -t > konfiguralasara szolit fel, ok lathatoan nem ertettek meg a problemat. > > A nyomozast el lehetne kezdeni azzal, hogy visszairhatnal azoknak akik az > abuse-t bejelentettek es megkerdezhetned, hogy ok milyen idozonaban > vannak? A log amit kuldtek, reggel haromkor keszult. Kis mazlival EU-n > belul vannak es valami hajnali idopontra esik a tamadasuk ideje, amikor > relative keves gep van bekapcsolva nalad, ez eleve leszukiti a lehetseges > jeloltek szamat. Ha nincs mazlid, akkor amikor naluk reggel harom volt, > akkor nalad delelott tiz es az osszes gep be volt kapcsolva, barkitol > johetett. > > udv > adam > > _______________________________________________ > Techinfo mailing list > [email protected] > Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo > Illemtan: http://www.szag.hu/illemtan.html > Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ >
_______________________________________________ Techinfo mailing list [email protected] Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo Illemtan: http://www.szag.hu/illemtan.html Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
