Tema: Intento de acceso ilegal a mi servidor Linux por ssh

[Gorka]

Hola gente:

Es mi primera participacion aqui, espero que seais pacientes conmigo.

Tengo desde hace unos meses un servidor linux con Oracle Enterprise 4 REL 5 (creo que esta basado en RH 4.5) en el que tengo instalado un servidor de BBDD Oracle 10g y alguna cosita mas.
Me conecto a el via ssh con putty o un cliente NX (si necesito usar xwindows).
El servidor esta detras de un router de ya.com
Y para no tener que acordarme de la ip del router a cada momento, uso Dinamic DNS (la web creo que es dyndns.com)

Hace un par de dias, revolviendo en los logs del sistema me di cuenta que que hay muchos accesos ilegales desde ips que no conozco, alrededor de 23.000

Entiendo que sera algun programa que intenta obtener la clave de root o de otros usuarios del sistema por fuerza bruta, a base de probar y probar.


Me surgen algunas preguntas a la vista de esto:

1) Para conectarse a mi servidor usan la ip (que cambia cada vez que apago el router, porque es dinamica) o el nombre que esta registrado en dyndns.com?
2) Si usan la ip, como conio hacen para averiguar la nueva, cada vez que se apaga el router (me consta que desde que empezaron los ataques se ha apagado alguna vez el router, por cortes de luz)
3) Si usan mi nombre registrado en dyndns.com, como conio saben el nombre, si eso se supone que no es publico?
4) Entiendo que para arreglar eso, lo mejor es tener una contrasenia de root mas o menos complicada (que ya la tengo) y limitar el numero de conexiones al puerto 23 (ssh) con iptables (algo lei por ahi algun dia, tengo que volver a buscar la pagina, pero creo que se puede hacer).


Alguna otra sugerencia o comentario?


Muchas gracias y un saludo
     Gorka

[klondike]

1) Para conectarse a mi servidor usan la ip (que cambia cada vez que apago el router, porque es dinamica) o el nombre que esta registrado en dyndns.com?

Eso es imposible de saber, pues si el ataque fuese por la dirección de dyn-dns esta se traduciría a tu IP que es la que se usaría para atacar. Aunque apuesto por IP.

2) Si usan la ip, como conio hacen para averiguar la nueva, cada vez que se apaga el router (me consta que desde que empezaron los ataques se ha apagado alguna vez el router, por cortes de luz)

Simple, usando fuerza bruta contra IPS (primero scan de puertos y luego ataque) y un montón de máquinas zombies que son usadas maliciosamente para esos ataques.

3) Si usan mi nombre registrado en dyndns.com, como conio saben el nombre, si eso se supone que no es publico?

Con un simple scan de puertos puedes saber la versión del sistema operativo y, de ahí, los nombres de usuario por defecto. Además, todas las máquinas Unix tienen un usuario root.

4) Entiendo que para arreglar eso, lo mejor es tener una contrasenia de root mas o menos complicada (que ya la tengo) y limitar el numero de conexiones al puerto 23 (ssh) con iptables (algo lei por ahi algun dia, tengo que volver a buscar la pagina, pero creo que se puede hacer).

La mejor manera es usar auteticación pro clave pública y clave privada y prohibir el acceso con contraseña al usuario root (y si te es posible a otdos los usuarios). Además, puedes usar algún programa auxiliar como sshd filter que limita el efecto de los ataques. Baneando las IPs temporalmente cuando cometen algún fallo.

Alguna otra sugerencia o comentario?

Usa Linux, no sólo es más seguro si no que además tiene herramientas mucho más potentes para administrar servidores remotos.