Falha no login do servidor

Question

Quando eu faço login no meu servidor usando ssh, ele me mostra uma mensagem com o número de logins com falha desde o último login de sucesso. Atualmente eu tenho isso:

Last failed login: Wed Jan 28 17:54:17 EST 2015 from 103.41.124.30 on ssh:notty
There were 1125 failed login attempts since the last successful login.

Minha pergunta é: isso é normal?

Atualmente também estou usando uma chave ssh para login. Há mais alguma coisa que eu possa fazer para proteger meu servidor?

Obrigado

    

Answer 1

Não, não é "normal", mas dentro do âmbito de ser alvo. Verifique seus logs para tentativas de login do ssh. Parece uma tentativa de senha bruteforce com seu nome de usuário. Por favor, certifique-se de que o ssh esteja desativado para root. E espero que você tenha uma senha strong. = > na verdade, se você estiver usando uma chave / cert para fazer login, desative logins ssh com senhas, a menos que queira deixar isso lá para desencaminhar o invasor.

Quando você olha para as tentativas ssh no log, se tiver sorte, pode descobrir quem está tentando mexer com você. Mas pode ser apenas outro ataque de botnet genérico: - (

    

Answer 2

Se a conta que você está usando for chamada root (ou algo mais comum) e o sshd for exposto à internet, sim, isso dentro do intervalo normal.

Você diz que está usando uma chave ssh para fazer login. A autenticação de senha é permitida? Você poderia desativá-lo. (Se a conta for raiz, considere PermitRootLogin without-password .) Além disso, instale fail2ban .

    

Answer 3

É altamente recomendável alterar se você estiver usando o padrão% estranho22 port. Se você não tem um firewall, você deve ter um. Eu uso o csf no meu ambiente e tem algumas regras de bloqueio para invasores de força bruta.