¿Por qué bloquear IPs desde las cuales el inicio de sesión SSH falló con demasiada frecuencia?

  

¿Hay algún beneficio de seguridad al bloquear dichas direcciones IP durante unos minutos?

Archivos de registro más pequeños a medida que los robots se rinden e intentan diferentes objetivos. Los registros más pequeños significan más historial de registros (y menos pérdida de datos si esos registros se escriben en flash).

  

Si bloqueo estos intentos de inicio de sesión

Inicializar una conexión ssh segura y comprobar si se permite el inicio de sesión de root es mucho más trabajo que eliminar un paquete.

Usted ahorra un poco de energía, y quizás una cantidad de ancho de banda no trivial.

  

fail2ban ... No veo el punto

En su lugar, podría agregar fácilmente una regla LIMIT de firewall.

  

mi lenta conexión a internet ...

Escenario 1

TCP handshake: 3 packets
SSH session initiation: half a dozen packets
Login failure: 2 packets
TCP teardown: 3 packets
------------------
Total: 12+ packets @ 1800 per hour = 2-20 MB per hour

Escenario 2:

SYN hits the floor.
------------
Total: 1 very small packet @ 10 per hour = not much

Estos robots están usando una cantidad no trivial de su ancho de banda. Bloquealas para que usen menos.

Este es un simple ataque de fuerza bruta, seleccionan un inicio de sesión y prueban todas las contraseñas posibles, a partir de las más comunes y demás.

En su caso, han intentado un nombre de usuario que ni siquiera existe, lo que lo lleva a cuestionarse si hay algún punto para bloquearlos, pero considere el escenario en el que intentan un inicio de sesión válido.

No bloquear su IP les daría la oportunidad de probar varios millones, tal vez miles de millones de contraseñas por día, hasta que encuentren la correcta.

Sin embargo, si bloquea su IP durante varios minutos cada vez que fallan varios intentos, sus esperanzas de encontrar esa contraseña en un tiempo práctico serán completamente inútiles. Ese servidor no será hackeado de esa manera dentro de un tiempo de vida.

Esto también significa que lo más probable es que se den por vencidos y dejen de inundar tu servidor con intentos de inicio de sesión tontos.

Para frustrar ataques de SSH como este, las utilidades como fail2ban o CSF / LFD se implementan comúnmente en servidores orientados a Internet. Estas herramientas analizarán sus registros y generarán reglas de iptables sobre la marcha para bloquear la dirección IP ofensiva.

Aunque es poco probable que tengan éxito, creo que es una buena práctica bloquear esos ataques. Ahorrarás algo de ancho de banda y CPU.

Dependiendo de la herramienta, es posible que pueda incluir en la lista blanca ciertas direcciones IP como la suya, si son estáticas o no cambian con frecuencia.

En ciertos sistemas he presenciado cientos de ataques por día. En algún momento pueden drenar sus recursos. Tienes poco que perder bloqueándolos.

¿Hay algún beneficio de seguridad al bloquear dichas direcciones IP durante unos minutos?

Si cambia su puerto SSH público, probablemente nunca verá otro intento. Esa es la mejor manera de mantener sus registros claros para que pueda ver los problemas reales.

Si inhabilitas los inicios de sesión de contraseña en SSH, las posibilidades de cualquier inicio de sesión fraudulento son muy pequeñas.

Bloquear los IP es realmente solo necesario si no haces lo anterior. En ese caso, solo porque no ha visto un intento exitoso en los pocos minutos que ha visto los registros, esto no indica que no tendrán éxito en el futuro o que no ejecutarán algunos otro ataque que tiene éxito pero está enmascarado por las muchas otras entradas de registro. Sin embargo, hacer los bloqueos temporales no duele a excepción de un retraso muy raro en su propio inicio de sesión. Agrega seguridad adicional y ayudaría en caso de que la red de bots cambie a un ataque más específico.

Cualquier computadora conectada directamente con puertos abiertos a Internet comenzará a ser escaneada automáticamente por los atacantes dentro de unos 30 segundos aproximadamente.

Debido a que muchos dispositivos conectados a Internet usan SSH para proporcionar acceso remoto a la línea de comandos y porque el usuario root tiene control total y acceso al dispositivo, es el principal puerto que los atacantes buscan comprometer.

Nunca podrás continuar manualmente con todos los intentos y es una pérdida de tiempo intentarlo. Sin embargo, hay algunas cosas que puede y debe hacer:

• Mueva el puerto orientado a Internet de 22 a algo alto. Eso detendrá casi todos los ataques inmediatamente. La forma más fácil de hacerlo es en su enrutador. Pero también puedes usar el firewall IPTABLES de Pi para hacerlo.
• Asegúrese de que la raíz no pueda usar SSH, este debería ser el predeterminado de todos modos. Si necesita derechos elevados, use sudo . Como este es un Pi, también debe deshabilitar al usuario de Pi o al menos evitar que Pi use SSH, cree una ID alternativa.
• Instale fail2ban en la Pi. Esto se puede usar para prohibir automáticamente las direcciones IP de origen si no pueden completar un inicio de sesión. Si prohibes cualquiera de esos IPs, digamos 5 minutos, estarás bastante seguro. Asegúrate de incluir en la lista blanca cualquier IP que uses legítimamente, o de que solo la hayas prohibido por un período lo suficientemente corto para que no te bloqueen si no inicias sesión correctamente.