Handige tips om SSH te beveiligen
Als het gaat om het beveiligen van SSH heeft iedereen wel een eigen mening of oplossing. Feit is wel dat het bruteforcen van SSH logins in de Top 10 van "Internet probes en aanvallen" van 2006 stond, en nog altijd de oorzaak van menig gehackte server is. De volgende checklist met tips moet dan ook helpen om de boel iets beter te beveiligen.
- Verander de SSH poort, het liefst boven de 1024. De meeste poort scanners scannen geen hoge poortnummers.
- Gebruik alleen SSH2, aangezien het SSH protocol 1 kwetsbaar is voor man in the middle aanvallen.
- Laat alleen specifieke gebruikers via SSH inloggen.
- Gebruik DSA public key authenticatie. Aangezien dictionary attacks dan niet meer werken.
- Laat via TCP wrappers of iptables alleen bepaalde hosts connecten.
- SSH "tijdslotje". Laat iemand die een verkeerd wachtwoord invult steeds langer wachten voordat hij het weer mag proberen.
wachtwoord) een geldige gebruikersnaam raden, en daarmee verklein je
de kans dat hij succes heeft.
Maak een subtiele verandering in het SSH client/server
protocol zodat je alleen nog met je gemodificeerde client
kan inloggen: b.v. pipe alle pakketjes door "rev"
voordat ze
de lijn opgaan en vlak nadat ze van de lijn afkomen;
hierdoor kunnen hackers niet met hun standaard tools
proberen in te breken!
pas met dit soort dingen wel heel goed op dat je niet per
ongeluk iets verandert dat het protocol zwak maakt
maar voor de rest ben ik het er wel mee eens
dat SSH tijdslotje lukt me maar niet om goed te fixoren hier :(
maar voor de rest ben ik het er wel mee eens
Tijdslotje zoals hier uitgelegd is denk ik meer een
verouderd alternatief voor public-key authenticatie. Een
soms zinnig alternatief voor public-key authenticatie is
overigens het gebruik van one-time keys, en dat valt wel weer
aardig te combineren met een pam_tally of soortgelijke
oplossing.
Mischien trouwens wel een leuk onderwerp voor een poll, eens
zien hoe
veel mensen er nog steeds password authenticatie gebruiken
voor ssh,
en hoeveel er pubkey, one-time-key of andere alternatieven
gebruiken.
-m recent --set --name SSH -j ACCEPT
iptables -A INPUT -p tcp --dport 21:23 -m recent --update
--seconds 60 --hitcount 4 --rttl --name SSH -j DROP
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
