我刚刚遭受了攻击吗？

Question 1

是的，您正遭受攻击，是的，您应该担心系统被攻破，即使您使用了强大的 SSH 密码。

你应该：

Answer

是的，您正遭受攻击，是的，您应该担心系统被攻破，即使您使用了强大的 SSH 密码。

你应该：

Question 2

扩展一下上面 HopelessN00b 的回答：

您还可以使用以下方法限制尝试次数iptables 的限制模块。或者，如果您使用 Shorewall，使用其 LIMIT 操作完成相同的任务。在 fail2ban 和此方法之间，我在标准端口上的 SSH 服务只能偶尔对一两个用户进行心不在焉的猜测，然后潜在攻击者就会继续前进。
使用AllowGroupssshd_config 中的选项首先限制哪些用户可以进入（我sshusers为此目的创建了一个特殊组）。确保常用用户名（尤其是 root，但也包括其他常用用户名，如 webmaster、postmaster 等）不在此组中。
在同一个文件中，确保设置PermitRootLogin为no。对我的服务器的攻击中，有 50% 都试图访问 root，这确保无论他们如何努力，都不会成功。sudo无论如何，您应该始终以您的用户身份登录并在必要时使用，因此这不会妨碍您的服务器用户。

您自己成为攻击目标的可能性极小；最有可能的是一个随机机器人扫描 IP 范围，发现了您的服务器并试图进入。这种情况经常发生，而且很常见。只需确保您的服务器安全，注意未经授权的访问迹象（例如，如果更改，可以提醒您的 Zabbix 等监控系统/etc/passwd是一个很好的第一步），否则不要担心。

更高级的方法是，你可以使用一种称为“端口敲击”的技术来完全掩盖 SSH 服务的存在，除非有人知道“秘密敲击”来揭示它。不过，这不是一种简单的技术，而且使用起来更困难，因为没有可以与之配合使用的 SSH 客户端，因此你必须使用额外的工具来实现这一目的。因此，我并不推荐它。

Answer

扩展一下上面 HopelessN00b 的回答：

您还可以使用以下方法限制尝试次数iptables 的限制模块。或者，如果您使用 Shorewall，使用其 LIMIT 操作完成相同的任务。在 fail2ban 和此方法之间，我在标准端口上的 SSH 服务只能偶尔对一两个用户进行心不在焉的猜测，然后潜在攻击者就会继续前进。
使用AllowGroupssshd_config 中的选项首先限制哪些用户可以进入（我sshusers为此目的创建了一个特殊组）。确保常用用户名（尤其是 root，但也包括其他常用用户名，如 webmaster、postmaster 等）不在此组中。
在同一个文件中，确保设置PermitRootLogin为no。对我的服务器的攻击中，有 50% 都试图访问 root，这确保无论他们如何努力，都不会成功。sudo无论如何，您应该始终以您的用户身份登录并在必要时使用，因此这不会妨碍您的服务器用户。

您自己成为攻击目标的可能性极小；最有可能的是一个随机机器人扫描 IP 范围，发现了您的服务器并试图进入。这种情况经常发生，而且很常见。只需确保您的服务器安全，注意未经授权的访问迹象（例如，如果更改，可以提醒您的 Zabbix 等监控系统/etc/passwd是一个很好的第一步），否则不要担心。

更高级的方法是，你可以使用一种称为“端口敲击”的技术来完全掩盖 SSH 服务的存在，除非有人知道“秘密敲击”来揭示它。不过，这不是一种简单的技术，而且使用起来更困难，因为没有可以与之配合使用的 SSH 客户端，因此你必须使用额外的工具来实现这一目的。因此，我并不推荐它。

Question 3

我不会关心你日志中的这些行。它们只显示有人试图猜测一些根本不存在的用户的密码。

我认为这些日志行无法解释延迟增加的原因。即使您在延迟发生时尝试找出原因，也很难找到延迟增加的原因。事后找出延迟增加的原因可能是不可能的。这可能是您和服务器之间某处的路由器暂时拥塞。

无法重新启动机器令人担忧 - 除非你的意思是由于网络问题而无法与服务器建立连接。

您可以查看其他日志，了解可能发生的情况。如果您还没有这样做，您应该查看/var/log/syslog。

Answer

我不会关心你日志中的这些行。它们只显示有人试图猜测一些根本不存在的用户的密码。

我认为这些日志行无法解释延迟增加的原因。即使您在延迟发生时尝试找出原因，也很难找到延迟增加的原因。事后找出延迟增加的原因可能是不可能的。这可能是您和服务器之间某处的路由器暂时拥塞。

无法重新启动机器令人担忧 - 除非你的意思是由于网络问题而无法与服务器建立连接。

您可以查看其他日志，了解可能发生的情况。如果您还没有这样做，您应该查看/var/log/syslog。

相关内容