Am Tag 2-3 x Mails von Fail2Ban mit Loginversuchen

Das ist recht normal:

cat /var/log/auth.log | grep -i "Invalid User" | wc -l
10703
cat /var/log/auth.log | grep -i "Disconnected from authenticating user root" | wc -l
2856

Das wären damit aktuell bei einen meiner Server gut 13.000 Login versuche aufm ssh innerhalb von paar tagen. sshd auf einen alternativen Port laufen zu lassen bringt einen leider auch nicht soviel. Besonders weil 2222 sehr beliebt ist als alternativer port.

Fail2ban + nur public key auth zu erlauben und sein System immer auf den aktuellsten patch stand zu halten reicht in der Regel aus um ein ssh abzusichern.

Unter Debian/Ubuntu kann man noch überlegen ssh/openssl über unattended-upgrades automatisch updaten zu lassen. Aber das ist geschmackssache. Weil wenn da was schief geht man über vnc das wieder fixen muss.

Um generell das Grundrauschen zu minimieren, könntest du entsprechende Listen verwenden z.b abuseipdb.com. Nutze ich u.a auch, seitdem ist Ruhe

Das Grundrauschen lässt sich tatsächlich auch relativ gut minimieren, wenn einfach ein nicht offensichtlicher Port für SSH verwendet wird, gerne fünfstellig.

Wenn du wirklich Ruhe haben willst, mach dir ein Wireguard VPN und lass den SSH-Server nur auf dem VPN-Interface laufen. Nach Wireguard VPNs kann man nicht effektiv scannen, weil die keinerlei Fehlermeldung ausgeben: Wenn der Client den Key nicht kennt, bekommt er einfach gar nichts zurück, genau wie bei einer "drop" Firewall.

Ich schneide über munin mit, was meine Firewall und meine WAF so feststellen. Portscans, Zugriff von IPs auf Blacklisten, PHP Attacken, usw. Im Schnitt kommt ein Zugriff pro Sekunde vorbei, den ich nicht will.

Ich werde oft dafür kritisiert, wenn ich Neulinge hier im Forum darauf aufmerksam mache, dass sie ihren Server absichern sollen, bevor sie anfangen, die eigentliche Applikation einzurichten. Aber genau das ist der Grund dafür, und es ist wichtig. Sonst hat man wenig Freude an seinem Server.

Quote from cltrmx

wenn einfach ein nicht offensichtlicher Port für SSH verwendet wird, gerne fünfstellig

Als ich das gerade gelesen habe, kam mir spontan die Idee evtl. einen Sicherheitsgewinn durch zufällige Ports zu schaffen.

Die Implementierung könnte wie folgt aussehen:

• TOTP läuft auf dem Server & Client und wird zweckentfremdet:
• Der aktuelle 6-stellige TOTP-Token wird auf 5 Stellen bis max. 65535 dividiert und ggf. mit einer Ausschlussliste bestimmte Ports verhindert.
• Die Firewall wird entsprechend umkonfiguriert und der SSH-Port am Server geöffnet.
• Der Server lässt den Port offen sobald eine erfolgreiche Verbindung aufgebaut wurde - andernfalls wird er geschlossen wenn ein neuer Zeitabschnitt anfängt oder die Verbindung beendet wurde.

Ist nur so eine Idee.

Die Wahrscheinlichkeit dass der ständig wechselnde SSH-Port erreicht wird (im Fall keiner laufenden Sitzung) dürfte deutlich reduziert sein. Angreifer bekommen dadurch bereits beim Türsteher (Firewall) einen Platzverweis.

Allerdings wird der arme Türsteher alle 30 Sekunden von Tür zu Tür gehetzt

Sicher gibt's jemand, der bereits eine existierende Lösung für so eine dynamische Portlösung kennt?

Falls es sowas noch nicht gibt (und es tatsächlich einen Vorteil bringt) ist die Idee hiermit unter CC BY-SA 4.0 lizenziert

Man kann auch Port Knocking nutzen. Da muss nicht nur ein Port passen, sondern direkt mehrere müssen stimmen.

Wenn du lokal ne feste IPv4 oder IPv6 hast, könntest du den SSH Port nur für diese IPs in deiner Firewall freigebeben.

Schwachstellen vermeiden, beginnt mit einer sauberen Konfiguration der einzelnen Dienste. Das kann man von außen nicht einfach pauschal mal testen. Du kannst selber aber deinen Server auf offene Ports scannen

https://portchecker.de/

Ich nutze generell bei allen einen 5-Stellingen Port inkl. Key. Zudem kommt man auf alle Server nur über meinen Wireguard (sie Post von NaN).

Auf meinem Wireguard muss man natürlich ohne VPN-Verbindung kommen, dafür wird aber zusätzlich zum Port & Key noch eine 2FA benötigt.

Fahre mit diesem Setting seit Jahren ohne Probleme.

Quote from VeePay

Auf meinem Wireguard muss man natürlich ohne VPN-Verbindung kommen, dafür wird aber zusätzlich zum Port & Key noch eine 2FA benötigt.

Fahre mit diesem Setting seit Jahren ohne Probleme.

Wireguard mit 2FA finde ich sehr spannend und würde ich auch gerne einrichten. Hast du einen Tipp für mich, wie du das gemacht hast? Wie bekommt man Wireguard dazu, einen zweiten Faktor abzufragen?

Quote from marpri

Wireguard mit 2FA finde ich sehr spannend und würde ich auch gerne einrichten. Hast du einen Tipp für mich, wie du das gemacht hast? Wie bekommt man Wireguard dazu, einen zweiten Faktor abzufragen?

Du sicherst nicht direkt Wireguard mir der 2FA ab sondern den SSH des WG-Servers.

2FA für Debian einrichten

Ich habe dasselbe Setup wie VeePay - aber mal abgesehen davon:

Das Grundrauschen ist "normal", allerdings taucht es bei mir trotzdem auf keinem meiner Server auf. Setze als SSH-Port einen 5-stelligen, welcher nicht auf der folgenden Liste auftaucht, und dein fail2ban hat nichts zu tun: https://nullsec.us/top-1-000-tcp-and-udp-ports-nmap-default/

Quote from AquaPhantom

Kann mir mal bitte jemand erklären was das ganze mit Wireguard sicherer werden soll? Wireguard ist doch nur ein VPN?

Ich dachte sicherer geht nur, wenn ein kleinen VPS oder RS mit OpenSense baut und darüber zuerst alls laufen lässt, oder bin ich jetzt irgendwie total daneben?

Bud

Hatte gestern den Port auf einen Wert geändert der nicht auf der Liste steht udn seitdem hatte ich auch Ruhe.

Das wird dadurch sicherer, da man sich nur auf deine Server einloggen kann, wenn man die IP deines VPN-Servers besitzt.

Quote from AquaPhantom

Kann mir mal bitte jemand erklären was das ganze mit Wireguard sicherer werden soll? Wireguard ist doch nur ein VPN?

Ich dachte sicherer geht nur, wenn ein kleinen VPS oder RS mit OpenSense baut und darüber zuerst alls laufen lässt, oder bin ich jetzt irgendwie total daneben?

In wie wie weit macht OPNsense & Co die Verbindung sicherer? Gibts dafür eine eigebaute WAF oder ein IPS?

Quote from AquaPhantom

Kann mir mal bitte jemand erklären was das ganze mit Wireguard sicherer werden soll?

Hauptsächlich geht es um Ruhe in den Logs. Nach Wireguard VPNs kann man nicht effektiv scannen, deswegen tut das auch niemand und die Logs schweigen. SSH-Zugänge sind heiß begehrt und endlose Versuche mit Account- und Passwortlisten füllen die Logs. Selbst wenn der Server bei jedem Versuch "nur mit Key" antwortet, werden munter weiter Passwörter durchprobiert. Ruhige Logs sind auch ein Sicherheitsaspekt, weil die wichtigen Informationen sonst leicht untergehen.

Man kann dem aber auch direkte Sicherheitsvorteile abgewinnen: Ein Eindringling muss zwei kryptographische Zugangskontrollen überwinden, um Zugang zu bekommen: das VPN und den SSH-Login. Die Firewall kann den SSH-Server besser abschotten, wenn man den z.B. in Verbindung mit einem Jump-Host noch direkt für bestimmte IP-Adressen erreichbar machen möchte, oder man bindet den SSH-Server überhaupt nur an das VPN-Interface. Das macht Fehlkonfigurationen des SSH-Servers weniger gefährlich. Bei Wireguard gibt es keinen Passwortmodus (bzw. nur zusätzlich zum Schlüssel), während man andere VPNs sehr leicht völlig unsicher konfigurieren kann.

Vor allem aber: Ruhe.

So kann Grundrauschen aussehen:

fail2ban-pinpoint=1714979719,1717830919.png