暴露在公网中的服务器如果不限制SSH登录会引来大量暴力尝试密码的攻击，可以使用如下命令查看尝试登录的IP和次数：

1
cat /var/log/secure | awk '/Failed/{print $(NF-3)}' | sort | uniq -c | awk '{print $2" = "$1;}'

随手截了一段我刚买的服务器：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
123.207.2.166 = 6  
170.79.153.149 = 6
177.200.194.37 = 9
181.196.82.186 = 6
181.211.179.110 = 6
182.100.67.4 = 5502
182.45.99.211 = 6  
183.128.48.94 = 6  
183.155.130.103 = 6
183.157.67.23 = 1  
183.179.172.245 = 6
186.130.13.198 = 24
186.178.14.84 = 6  
190.37.156.44 = 6  
190.51.7.4 = 30    
35.154.73.111 = 7  
36.225.54.246 = 6  
39.155.136.34 = 6  
47.202.19.153 = 9  
94.177.186.16 = 17

fail2ban

fail2ban是一个著名的入侵保护的开源框架，它可以监视系统日志，然后根据匹配到的错误信息（如有人多次尝试SSH、SMTP密码）自动触发不同的防御动作（一般为调用防火墙屏蔽）。

安装

首先安装EPEL源：

1
yum install -y epel-release

由于CentOS7默认防火墙是firewalld，我们安装firewalld版本的fail2ban：
1
yum -y install fail2ban-firewalld fail2ban-systemd

配置

新建并编辑配置文件：

1
vim /etc/fail2ban/jail.local

此处以SSH Jail为例，如需其他规则如邮件、MySQL等可自行搜索。
1
2
3
4
5
6
7
8
9
10
11
12
13
[DEFAULT]
bantime = 86400
findtime = 300
maxretry = 3
[sshd]

enabled = true
port = 8888
banaction = firewallcmd-new

[sshd-ddos]
enabled = true
port = 8888

其中bantime是被封IP禁止访问的时间，单位是秒。
findtime是检测时间，在此时间内超过规定的次数会激活fail2ban，单位是秒。
maxretry是允许错误登录的最大次数。

启动fail2ban并设置开机启动：

1
2
systemctl enable fail2ban
systemctl start fail2ban

常用命令

查看SSH服务监护状态，能看到当前被禁IP。

1
fail2ban-client status sshd

输出如下：
1
2
3
4
5
6
7
8
9
Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     125
|  `- Journal matches:  _SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned: 2
   |- Total banned:     2
   `- Banned IP list:   182.100.67.4 163.177.240.2

在SSH监护服务白名单中添加/删除IP：

1
2
fail2ban-client set sshd addignoreip 1.2.3.4
fail2ban-client set sshd delignoreip 1.2.3.4

查看fail2ban日志

1
tail /var/log/fail2ban.log

输出如下：
1
2
3
4
5
6
7
8
9
10
2017-05-05 12:54:46,757 fail2ban.actions        [4073]: NOTICE  [sshd] 182.100.67.4 already banned
2017-05-05 12:54:49,327 fail2ban.filter         [4073]: INFO    [sshd] Found 182.100.67.4
2017-05-05 12:54:52,043 fail2ban.filter         [4073]: INFO    [sshd] Found 182.100.67.4
2017-05-05 12:54:52,764 fail2ban.actions        [4073]: NOTICE  [sshd] 182.100.67.4 already banned
2017-05-05 12:54:54,508 fail2ban.filter         [4073]: INFO    [sshd] Found 182.100.67.4
2017-05-05 12:59:58,164 fail2ban.filter         [4073]: INFO    [sshd] Found 163.177.240.2
2017-05-05 13:00:00,069 fail2ban.filter         [4073]: INFO    [sshd] Found 163.177.240.2
2017-05-05 13:00:02,064 fail2ban.filter         [4073]: INFO    [sshd] Found 163.177.240.2
2017-05-05 13:00:02,116 fail2ban.actions        [4073]: NOTICE  [sshd] Ban 163.177.240.2
2017-05-05 13:00:03,853 fail2ban.filter         [4073]: INFO    [sshd] Found 163.177.240.2

DenyHosts

和fail2ban不同，DenyHosts主要靠分析sshd的日志文件（/var/log/secure），来记录重复的IP到/etc/hosts.deny文件，从而达到自动屏IP的功能，而fail2ban则是通过监控各种系统服务来完成。

由于以下原因，不再推荐使用DenyHosts。

  • DenyHosts 有尚未解决的安全问题Debian Bug report logs - #692229
  • DenyHosts 至今已有9年未更新
  • 已经有了能完全替代DenyHosts的产品：fail2ban

总结

虽然有各种各样的防护工具，但是最好的做法依然是不依赖它们。

至少应该做到以下几点：

  • 不允许root登录；
  • 不允许SSH通过密码登录；
  • 修改常用服务的默认端口（如22端口）；
  • 合理配置防火墙；