Configuré un servidor que ejecuta debian. Abrí el puerto 22 permitiendo el acceso a ssh en el puerto. Sigo recibiendo mensajes extraños en el registro de mi enrutador que dicen: [acceso LAN desde remoto] de 211.161.46.101:57201 a 10.xx.xx.xx:22
Busqué la dirección IP y dijo algo acerca de ser de Beijing. ¿Estoy siendo hackeado? Una vez cambié la contraseña en el inicio de sesión del servidor y ahora dice lo mismo pero con una dirección IP diferente.
Hay cuatro cosas que recomendaría para mantener su SSH más seguro y evitar ataques como ese. No puedo decir necesariamente si realmente se abrió camino hacia tu caja, o si simplemente lo intentó y falló, pero definitivamente cambia algunas de estas opciones para que sea mucho más difícil que algo como esto suceda en el futuro.
En términos de ver si su servidor ha sido comprometido, verifique sus registros ssh. Le permitirá saber qué nombres de usuario se intentaron para iniciar sesión, y si tuvieron éxito al hacerlo.
I'm A Person enumera algunos buenos pasos. Me gustaría agregar que el uso de la directiva AllowUsers en sshd_config le permite especificar que solo ciertos usuarios pueden iniciar sesión, por ejemplo. "AllowUsers imaperson" significa que imaperson puede iniciar sesión, pero cualquier intento de iniciar sesión en root, apache, postgres o cualquier otra cuenta existente en el sistema fallará, incluso con una contraseña correcta. Esto lleva las cosas un paso más allá que 'PermitRootLogin no'.
Para responder a tu pregunta más grande, no estás siendo hackeado per se; Estás siendo escaneado automáticamente. Continúa casi continuamente y a ciegas en Internet, por lo que el consejo de A Person sobre el puerto predeterminado es útil. Mi servidor personal tuvo aproximadamente 200 intentos en las últimas 12 horas, lo cual es normal o incluso bajo. Por lo general, es ruido y no un ataque dirigido a ti.
Intentos fallidos en las últimas 12 horas:
145 root
10 bin
1 mail
1 news
1 postgres