Devo alterar a porta SSH para 1024? [duplicado]

Question

Muitos guias de configuração do servidor recomendam que a porta SSH seja alterada para algo > 1024, para a obscuridade e para evitar conflitos.

Isso é interessante, porque recomenda usar uma porta < 1024, uma vez que seria privilegiado:

link

Alguma idéia sobre essa prática?

    

Answer 1

Você tem opções diferentes. Cada um tem desvantagens. Então, qual desvantagem você prefere?

• Use a porta 22: Você receberá muitas entradas de log dos bots de verificação para senhas fáceis. Você pode proteger contra comprometimentos dessa maneira usando somente autenticação de chave pública. Mas as entradas de log ainda estarão lá.
• Alguma outra porta menor que 1024: Ela provavelmente foi oficialmente reservada para algum outro protocolo, que pode causar conflitos caso você já use esse protocolo. Pode haver bots procurando por outro serviço, então você ainda verá estranhas entradas de log exibidas ocasionalmente.
• Use o número da porta 1024 ou mais: Os usuários locais podem causar um ataque DoS ouvindo nessa porta. Eles terão que começar a ouvir enquanto sshd estiver inativo, portanto, há uma janela de oportunidade em que sshd está sendo reiniciado.

Se, de outra forma, você mantiver seu sshd secure, parece que você tem a escolha entre obter logs inundados por hosts remotos ou possibilidade de DoS para usuários locais. As entradas de log podem ser atenuadas por meio de algum tipo de bloqueio automático, que infelizmente abre um possível tipo diferente de ataque DoS.

    

Answer 2

Bem, você poderia mudar a porta de 22 para algo diferente, sim. Mas isso não é nada que uma varredura de portas não mostrará no final.

Se você estiver preocupado com segurança e SSH, desative a autenticação somente por senha. Além disso, ative um verificador de log do monitor, como o fail2ban, configurado para banir hosts maliciosos que executam as verificações no seu site.

E se você está ainda mais preocupado com a segurança, então há uma coisa em que mudar a porta faz sentido: alterá-la para algo incomum e implementar a porta batendo!

Mudar a porta só não faz muita coisa, mudar a porta com batida de porta ativa é um tipo completamente diferente de assunto!

    

Answer 3

Portas abaixo de 1024 são reservadas para daemons e serviços que usam CAP_NET_BIND_SERVICE pelo Kernel, um deles é SSH.

Na verdade, a alteração da porta ssh não é uma grande melhoria de segurança, pois uma varredura ainda encontrará portas abertas. Você terá menos entradas de log causadas por ataques tentando senhas padrão ou tabelas de senhas nas portas padrão de hosts aleatórios, mas se você configurar seu ssh corretamente, isso não será um problema.

O problema é que, ao conectar-se ao seu servidor a partir de um ambiente em que o tráfego de saída está sendo restrito a portas padrão, você terá um problema. Para mim, manter o SSH na porta padrão é a melhor prática, mas acho que há algumas pessoas dispostas a discutir esse assunto.

    

Answer 4

Não vejo qualquer vantagem de segurança para alterar o SSH para uma porta não padrão. Não deve haver nenhum conflito em permanecer na porta 22, já que essa porta é reservada para o SSH. E se a segurança do seu servidor SSH depender de sua execução em uma porta não padrão, você não estará fazendo o seu trabalho.

    

Answer 5

Eu tenho que discordar parcialmente das outras respostas porque mudar a porta não necessariamente protege você contra um ataque direcionado real (no caso de alguém poder apenas escanear todas as portas e encontrar o SSH), mas não proteja você contra botnets que fazem força bruta sobre hosts aleatórios ou selecionados com dicionários. E mesmo nesse caso, presumo que todo técnico decente saberá ter certeza de que as senhas são strongs o suficiente, sem mencionar que as novas instalações de software realmente exigem que você tenha senhas strongs. O que eu acho que o protege contra ataques distribuídos de negação de serviço que podem realmente deixar seu servidor lento, preencher os logs com porcaria e assim por diante. While fail2ban & co. poderia fazer um bom trabalho contra um único host fazendo isso, eles são bastante ineficazes contra um botnet realmente grande.

Por outro lado, não vejo razão para deixar sua porta SSH aberta para a Internet, a menos que você execute algo como um host que ofereça acesso SSH ou algo assim. Caso contrário, você deve permitir somente IPs muito específicos que você confia para se conectar ao SSH, esta é a melhor prática. Não porta batendo, não mudando a porta, não fail2ban.

Então, se você me perguntar, existem duas opções:

1. Você tem uma necessidade específica de deixar o SSH aberto para a Internet. Nesse caso, você alteraria a porta SSH E instalaria o fail2ban (talvez até mesmo configurasse contas para bloquear após X tentativas de senha com falha).
2. Você fecha o SSH e coloca na lista de permissões apenas determinados IPs.

EDITAR:

Esqueceu sobre o mais de 1024 e sob 1024 coisa. Muitos firewalls, na verdade, possuem regras específicas que podem tornar a utilização de uma porta com menos de 1024 para ter mais sentido. Por exemplo, existem firewalls que negam conexões que chegam em portas superiores a 1024 (para que você realmente precise ter um serviço iniciado com root ou os recursos de Kernel necessários que atendem a uma porta e não alguma exploração), outros firewalls estão dando mais prioridades portas mais baixas para que os serviços do sistema possam se beneficiar disso, etc.