Re: AW: [gentoo-user-de] Autoresponder für ssh-logins

[Sandy Marko Knauer]

Am Mittwoch 11 März 2009 21:38:26 schrieb Frank Loewe:
> Das sind eher irgendwelche bereits in Mehrzahl geknackte/infizierte
> Server/Rechner mit Bots.
>
> >Wenn ich den Zielrechner mit Pings überdecke, dann hört er nach einer
> > Weile auf.
>
> Klasse Idee. Du beantwortest auch eine DOS Attacke mit einer DOS Attacke?
> Sorry wenns so ist, haben wir das mit 15 mal gemacht. :-)
>
> Wenn deine Firewall das doch meldet... Hast Du SSH überhaupt freigegeben
> nach aussen? Wenn nein, schalt das blöde logging ab. Warum soll das Ding
> etwas melden, was praktisch nicht geht??? Anfragen die eh ins leere gehen
> müssen mich nun interessieren?
>
> Wenn Du SSH von aussen brauchst, ändere den Port auf 947 oder sonstwas.
> Dann ist auch Ruhe im Karton.
>
> @Bernd
>
> > Nein. Ich meine damit, dass eine Firewall die wie auch immer etwas meldet
> > (muss ja dann was größeres sein, IPtables >schreibt ja maximal Logs) eben
> > so umfangereich sein sollte, dass eben auch entsprechend auf "Angriffe"
> > reagiert werden >kann.
>
> Das ist nicht Aufgabe einer Firewall. Ausgefeilte IPS/IDS Systeme sind da
> eher in der Lage. Aber ob das etwas größeres ist, frage ich ja oben schon
> an. Login versuche auf tote Ports ist nichts, sondern normal heutzutage.
>
> Zitat Wikipedia zum Thema Firewall:
> Von Regelverstößen einmal abgesehen, besteht die Funktion einer Firewall
> nicht darin, Angriffe zu erkennen und zu verhindern. Sie besteht lediglich
> darin, nur bestimmte Kommunikationsbeziehungen – basierend auf Absender-
> oder Zieladresse und genutzten Diensten – zu erlauben.
>
> Back to Topic:
>
> Ich würde allerdings mit z.B. Nagios das Logfile überwachen, und damit dann
> on demand eine Aktion auslösen lassen, falls die gesuchte Information im
> Log auftritt. Nur falls es ums Prinzip geht. Das sollte mit einem einfachen
> Plugin welcher die Quell-IP-Informationen parsed machbar sein.
>
> Gruß
> Frank
>
> -----Ursprüngliche Nachricht-----
> Von: Wolfgang Jankowski [mailto:Wolfgang.Jankowski@×××.de]
> Gesendet: Mittwoch, 11. März 2009 19:37
> An: gentoo-user-de@l.g.o
> Betreff: [gentoo-user-de] Autoresponder für ssh-logins
>
> Hallo zusammen,
>
> meine Firewall meldet regelmäßig Einwahlversuche per ssh. Es sind wohl
> irgendwelche Einbrecher oder so, die alees austesten.
>
> Wenn ich den Zielrechner mit Pings überdecke, dann hört er nach einer Weile
> auf. Versuche ich jedoch einen ssh-login auf seinem Rechner, so ist
> *sofort* Ruhe.
> Daher meine Frage: gibt es ein Programm, dass nach einigen erfolglosen
> Einwahlversuchen seinerseits mit kontrollierten Aktionen reagiert? Ich bin
> schliesslich nicht immer in der Nähe und kann die Los sehen.
>
> Tschüß
> Wolfgang

Ich habe jetzt nicht alles gelesen aber teste doch mal fail2ban.
*  net-analyzer/fail2ban
Als ich noch ein webserver via dyndns betrieben hatte, hatte ich auch sehr 
viele botscracker auf meinem rechner und wollte sie mit einem eigenen script 
vertreiben bis ich fai2ban endeckt habe. Mein script, wenn gewünscht suche ich 
mal raus und kann es hier schicken.

Viel Glück
Gruß
Sandy Marko Knauer