![我看到一个我不认识的 IP 建立了额外的 SSHD 连接。我应该担心吗?(包括输出)](https://linux22.com/image/749968/%E6%88%91%E7%9C%8B%E5%88%B0%E4%B8%80%E4%B8%AA%E6%88%91%E4%B8%8D%E8%AE%A4%E8%AF%86%E7%9A%84%20IP%20%E5%BB%BA%E7%AB%8B%E4%BA%86%E9%A2%9D%E5%A4%96%E7%9A%84%20SSHD%20%E8%BF%9E%E6%8E%A5%E3%80%82%E6%88%91%E5%BA%94%E8%AF%A5%E6%8B%85%E5%BF%83%E5%90%97%EF%BC%9F%EF%BC%88%E5%8C%85%E6%8B%AC%E8%BE%93%E5%87%BA%EF%BC%89.png)
以下是输出(我已将 IP 更改为 23.23.23.23)
[root@web01 centos]# lsof -i tcp:22
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
sshd 3705 root 3u IPv4 43164 0t0 TCP *:ssh (LISTEN)
sshd 3705 root 4u IPv6 43166 0t0 TCP *:ssh (LISTEN)
sshd 32064 root 3u IPv4 8676370 0t0 TCP web01.internal:ssh->49.235.10.177:33976 (ESTABLISHED)
sshd 32160 root 3u IPv4 8673203 0t0 TCP web01.internal:ssh->23-23-23-23.static.isp.com:filesphere (ESTABLISHED)
sshd 32168 centos 3u IPv4 8673203 0t0 TCP web01.internal:ssh->23-23-23-23.static.isp.com:filesphere (ESTABLISHED)
未知IP:49.235.10.177- 通过快速的 Google 搜索,我发现它来自中国,并且已被举报多次滥用。
这有多严重?我该怎么办?
答案1
您可能每天都会遇到很多这样的情况。有些机器人会在它们能找到的每个面向互联网的 sshd 上尝试使用常见的用户名/密码。
您可以执行以下操作last
来查看是否存在来自未知地址的实际登录(而不仅仅是连接),并检查 /var/log/auth。但请注意,如果系统受到威胁,您可能在那里找不到任何东西。
并考虑使用fail2ban
自动禁止尝试连接过多次数的 IP 地址。