Mac OS X ServerコミュのSSH brute force 攻撃対策

sshにたいするランダムな集中ログイン攻撃に対抗する対策を紹介します。
現在、私が管理する10.4.11サーバに順次対策する予定です。

1. sshサービスを停止する
　ssh攻撃を受けていると、サーバーのパフォーマンスが著しく低下しますので、まず、sshをなんとかして止めます。

2. sshポートの変更
　サーバに直接ログインして、sshのポート（既定値はport=22）を2022や2222等に変更します。
　変更する対象ファイルは/etc/servicesです。
　#ssh 22/udp # SSH Remote Login Protocol
　#ssh 22/tcp # SSH Remote Login Protocol
　ssh 2022/udp # SSH Remote Login Protocol
　ssh 2022/tcp # SSH Remote Login Protocol

　などのように22番（udp/tcp）を無効にし、新しいポート番号にします。

3. sshサービスを再度有効にする
　システム環境設定または、サーバー管理で再度SSHを有効にします。
　この時、サーバー管理で「SSHを開始できませんでした」というメッセージが出る場合がありますが、無視します。sshdは起動しています。（サーバ管理でリフレッシュするとメッセージは消えます）

4. sshでログインをテストする
　クライアントからは以下のコマンドでsshログインできるようになります。
　>ssh -p 2022 $USER@$HOST （注　$USERはログイン名、$HOSTはサーバアドレス）

　sftpの場合は
　> sftp -oPort=2022 $USER@$HOST
　となります。

これで、port 22番に対する攻撃からは逃れられます。

コメント(1)

最初
全て
最新の40件

[1] mixiユーザー 04月10日 01:36

/etc/services は他のアプリでも使うので (netstat 等の port 表示をする際)、同じ事なのですが、これを変更するよりは

/System/Library/LaunchDaemons/ssh.plist

の「SockServiceName」の string を「ssh」から任意のポートに変更する方が MacOS X 的な流儀に近いかなと。

また、接続する度に port 指定をするのは面倒なので、$USER/.ssh/config のファイルを以下の内容で作れば、ポートの指定が不要になります。

Host portchange.local
Port 2222

Host の指定は FQDN や IP アドレスなどの指定も出来ます。

以上お試しあれ。

ログインすると、みんなのコメントがもっと見れるよ