AW: [gentoo-user-de] Autoresponder für ssh-logins

[Frank Loewe]

Das sind eher irgendwelche bereits in Mehrzahl geknackte/infizierte Server/Rechner mit Bots.

>Wenn ich den Zielrechner mit Pings überdecke, dann hört er nach einer Weile
>auf.

Klasse Idee. Du beantwortest auch eine DOS Attacke mit einer DOS Attacke?
Sorry wenns so ist, haben wir das mit 15 mal gemacht. :-)

Wenn deine Firewall das doch meldet... Hast Du SSH überhaupt freigegeben nach aussen?
Wenn nein, schalt das blöde logging ab. Warum soll das Ding etwas melden, was praktisch nicht geht???
Anfragen die eh ins leere gehen müssen mich nun interessieren?
	
Wenn Du SSH von aussen brauchst, ändere den Port auf 947 oder sonstwas. Dann ist auch Ruhe im Karton.

@Bernd
> Nein. Ich meine damit, dass eine Firewall die wie auch immer etwas meldet (muss ja dann was größeres sein, IPtables >schreibt ja maximal Logs) eben so umfangereich sein sollte, dass eben auch entsprechend auf "Angriffe" reagiert werden >kann.

Das ist nicht Aufgabe einer Firewall. Ausgefeilte IPS/IDS Systeme sind da eher in der Lage. 
Aber ob das etwas größeres ist, frage ich ja oben schon an. Login versuche auf tote Ports ist nichts, sondern normal heutzutage.

Zitat Wikipedia zum Thema Firewall:
Von Regelverstößen einmal abgesehen, besteht die Funktion einer Firewall nicht darin, Angriffe zu erkennen und zu verhindern. Sie besteht lediglich darin, nur bestimmte Kommunikationsbeziehungen – basierend auf Absender- oder Zieladresse und genutzten Diensten – zu erlauben.

Back to Topic:

Ich würde allerdings mit z.B. Nagios das Logfile überwachen, und damit dann on demand eine Aktion auslösen lassen, falls die gesuchte Information im Log auftritt. Nur falls es ums Prinzip geht. Das sollte mit einem einfachen Plugin welcher die Quell-IP-Informationen parsed machbar sein.

Gruß
Frank

-----Ursprüngliche Nachricht-----
Von: Wolfgang Jankowski [mailto:Wolfgang.Jankowski@×××.de] 
Gesendet: Mittwoch, 11. März 2009 19:37
An: gentoo-user-de@l.g.o
Betreff: [gentoo-user-de] Autoresponder für ssh-logins

Hallo zusammen,

meine Firewall meldet regelmäßig Einwahlversuche per ssh. Es sind wohl 
irgendwelche Einbrecher oder so, die alees austesten.

Wenn ich den Zielrechner mit Pings überdecke, dann hört er nach einer Weile 
auf. Versuche ich jedoch einen ssh-login auf seinem Rechner, so ist *sofort* 
Ruhe.
Daher meine Frage: gibt es ein Programm, dass nach einigen erfolglosen 
Einwahlversuchen seinerseits mit kontrollierten Aktionen reagiert? Ich bin 
schliesslich nicht immer in der Nähe und kann die Los sehen.

Tschüß
Wolfgang