（为了更less的上下文，跳到最后） 我有一个CentOS 6盒子，采取了一些安全措施 – 禁用了rootlogin，强大的密码以及FTP和SSH用户白名单，并安装了fail2ban。 我得到SSH，FTP和SMTP尝试login的“通常”级别，所有fail2ban的处理都令人满意。 不幸的是，我无法更改SSH端口号或强制执行密钥，虽然它在我的名单上，如果可能的话。 今天我注意到一个更严重的攻击。 我以前没见过的东西。 相同的IP反复尝试在SSH上进行rootlogin，但它是随机的端口（每次最多3次尝试），而不会被fail2ban禁止 – 我认为这是因为随机端口号。 在对/var/log/secure进行一些调查之后，似乎在几个小时内就尝试了22K次，所以我手工添加了一条规则给iptables，以便从该IP中删除所有内容。 sshd: Failed password for invalid user root from xxxx port 48811 ssh2 我不知道攻击者在这里试图完成什么 – 他在寻找开放的端口，试图暴力破解SSH还是端口敲打？ 除了手动禁止攻击者之外，我不知道该怎么做，或者在哪里寻找更多信息。 TL; DR 在一个* nix系统中，我应该在哪里寻找攻击的证据，我应该如何解释这些信息来通知我做了什么？
对不起，如果这是之前问，但我已经看了其他问题，找不到匹配。 在我的Win Server 2008 VPS（来自不同的IP）上，我得到了很多Logon Type 2和3攻击。 我一直在想知道处理这些问题的最好方法是什么？ 我也注意到，攻击者使用新创build的pipe理员用户名（不是默认的“Administrator”），所以他们以某种方式从我的VPS Active Directory获取这些信息。 我有一个RDP访问启用（但不是通过标准的RDP端口）。 我知道这是一个安全问题，但我需要访问。 作为一个便笺：使用ShieldsUp，我发现端口135（DCOM服务控制pipe理器）和445（Microsoft目录服务）向全世界开放。 这可能是攻击者获取我的帐户名称的方式吗？ closures这些端口是否安全无需将自己locking在我的VPS之外？ 谢谢你的提示。 更新：我使用自定义防火墙规则阻止端口135和445。 我还在机器上创build了一个新的testing帐户，以查看攻击者是否还在获取AD数据。 正如@ syneticon-djbuild议的，我也closures了文件和打印机共享。 现在我正在等待，看是否有新的事件出现在事件日志中。 更新2：运行这个configuration几天后，我没有注意到在我的事件日志中有任何新的攻击。 所以我想阻塞+禁用共享的端口做的伎俩！
我今天从一个域而不是一个IP获得了大量的暴力攻击。 我跟踪了网站的IP地址，并将其封锁，但我仍然得到暴力警告。 我可以如何使用iptables来阻止域名？ alumni.xjtu.edu.cn
盒子变得很慢，决定vim /var/log/secure ，看到一堆蛮力方法试图用AZ从ssh开始。 iptables被安装，所以我通过添加的IP： iptables -I FORWARD -s [ip] -j DROP iptables -I INPUT -s [ip] -j DROP 它似乎是自动阻止他的IP。 我做了： iptables -nvL|less 这显示他的知识产权被封锁： Chain INPUT (policy ACCEPT 26G packets, 9985G bytes) pkts bytes target prot opt in out source destination 23 1400 DROP all — * * [HIS_IP] 0.0.0.0/0 26G 9985G PORTSEN all — * […]
我有一个SQL Server 2005实例运行在默认的1433端口。 我从不同的IP地址得到太多的无效login，可能是一些黑客程序试图攻击，我运行的Windows 2003服务器，因为Windows防火墙没有选项来阻止一个特定的IP，但即使我使用其他防火墙我需要定期监视新的黑客IP并需要阻止它。 有没有其他的方法来防止这些攻击，就像我得到无效的login尝试次数阻止该IP几分钟..
可能重复： 防止暴力攻击ssh？ 我们有大约20台联网的虚拟机，只注意到黑客试图强制SSH端口22.他们正在尝试常见的用户名（root，mysql，admin）和字典攻击。 我们知道一个反措施是在不同的端口上运行SSH，但这不是一个选项（必须在22上运行）。 另外，我们知道不允许使用密码（只有公钥）是另一个对策，但是我们又需要使用密码authentication的能力。 是否有一个封装，可以禁止/阻止一个IP地址，如果它尝试SSH不正确的X次在给定的时间间隔？ 如果在1分钟的时间内如果5次错误login可能阻塞12小时，则会是最佳的。 谢谢。
一个客户的网站目前正在遭受攻击，我已经被调用来解决这个问题。 大量的IP（容易超过5000个）不断地打/login ，可能试图暴露自己的方式。 我已经改变了网站，所以页面返回一个500错误，但他们并没有放弃。 显然这对于现在无法login的真实用户来说并不好。 负载平衡是通过HAProxy来完成的，我对这方面的知识还很less（虽然我比几个小时前还多了很多）。 我已经尝试了很多我在网上find的明智的东西，但似乎没有任何帮助，可能是因为存在如此大量的IP来执行攻击。 在这个问题上，那么： 如果在Y秒内点击/login超过X次，我该如何拒绝IP？ 而且，子点 – 我怎么能看到拒绝的日志，所以我知道它实际上工作？ 以下是haproxy.log的示例： Jun 3 14:24:50 hap-server haproxy[11831]: 46.161.62.79:15290 [03/Jun/2017:14:24:49.505] www-https-test~ www-backend/www-03 751/0/202/38/991 500 220 – – —- 428/428/120/38/0 0/0 "GET /login HTTP/1.1" Jun 3 14:24:50 hap-server haproxy[11831]: 46.161.63.132:47804 [03/Jun/2017:14:24:49.505] www-https-test~ www-backend/www-04 751/0/202/38/991 500 220 – – —- 428/428/119/42/0 0/0 "GET /login HTTP/1.1" Jun 3 […]
可能重复： 我的服务器被黑了应急 所以我注意到我的networking服务器上的一些文件/文件夹，并调查导致的事实，通过SSH的蛮力攻击是在我的服务器上完成的（有一个名为unix的文件夹名为UnixCoD Atack扫描器，所以我知道是什么再加上另一个带有用户名/密码组合的文件） 我应该调查什么来尝试检测哪些已被泄露。 我已经浏览了我能find的唯一.bash_history文件，只有我的命令存在。 在此之前，我从来没有听说过UnixCoD，我看过.bash_history文件，但不知道它是什么，所以你可以衡量我的专业水平….. 像Cloudflare Cloudflare安全function这样的服务也可以解决一些问题吗？ 任何帮助将不胜感激
最近我从本地ISP那里获得了一个专用的服务器来玩。 正如标签所示，它是一台windows server 2008 R2机器。 我只用了几天，还没有真正的stream量。 我甚至还没有部署一个“真正的”网站。 只是一个愚蠢的网页，以便我可以检查IIS，我的主机头，DNSlogging等都configuration正确。 在玩游戏时，我注意到事件查看器安全日志中有大量的审计失败条目。 似乎有东西试图访问pipe理员帐户，并失败。 它闻起来像是对我的蛮力攻击。 我的ISP给了我pipe理员帐户的帐户详细信息，我用这些RDP到框中，我听说是不是最安全的情况。 我创build了自己的另一个帐户，并将自己添加到pipe理员组，所以即时通过该帐户获得对机器的支持。 为了回应所有这些，我使用http://strongpasswordgenerator.com/来生成20个字符长度的强密码，并更改了我所有的帐户密码，甚至是SQL sa用户。 我也启用了FileZillaServer的自动禁止function（我的FTP服务器） 我的问题：1）我怎样才能更好地检测到这种东西？ 2）如何保护我的服务器免受未经授权的访问？ PS：我是一个软件开发人员，而不是一个系统pipe理员，所以请介意我的服务器安全的白痴
我有几个IP地址我想手动添加到拒绝主机，因为他们是入站垃圾邮件的巨大来源。 什么是最好的方法来做到这一点？ 或者我不应该搞乱它？ 我想手动将这些添加到拒绝主机，但我没有看到通过任何程序选项来做到这一点。 我在denyhosts.py –help不到任何denyhosts.py –help 。 它看起来像添加一行到/etc/hosts.deny一样简单，但由于删除一个IP的过程（ 在这里看到的ServerFault和DenyHosts常见问题 ）涉及到更新六个文件，这让我觉得它不是“ 你不能只是…将IP添加到文件？“。