扫描式的网路入侵，如何抵御

xiaolaba

时时刻刻都有闯入的入侵， 请问怎样永久停掉这些僵尸的IP呢

fire log

cremaker

ip 都有了，這應該不難吧，找台 FIREWALL 把 IP BAN 掉

xiaolaba

cremaker 發表於 2017-5-14 05:21 PM
ip 都有了，這應該不難吧，找台 FIREWALL 把 IP BAN 掉

2-3分钟就变更一个IP
泰国这秒，西班牙下一秒
这个BAN法没效益呀

cremaker

xiaolaba 發表於 2017-5-14 05:39 PM
2-3分钟就变更一个IP
泰国这秒，西班牙下一秒
这个BAN法没效益呀

你是否有開放遠端登入的功能，我看這應該是暴力登入， 就是一直嘗試不同的使用者及PWD,一直嘗試！
像老大就很帥，一擋就是整個網段！
我不了解你這台的用途， 開放了哪些服務?
像你要要只開放國內使用，把國外的 IP 都 BAN 了！

xiaolaba

cremaker 發表於 2017-5-14 05:49 PM
你是否有開放遠端登入的功能，我看這應該是暴力登入， 就是一直嘗試不同的使用者及PWD,一直嘗試！
像老大 ...

设备内置开放的 CLOUD 服务, SSH登入已经都一直限制用LAN和HTTPS，没有其他Web登入服务，但是不懂怎样阉割掉。

改好密码帐号会好个几天，看不到戳洞记录，不过一阵子以后又在出现，所以唯有想封IP。

请问在何处可以查看哪个地区有哪些IP段，目前希望限可用地区为台湾/日本/美国/大陆/星加坡，其他都给他封，谢谢你

cremaker

xiaolaba 發表於 2017-5-14 06:08 PM
设备内置开放的 CLOUD 服务, SSH登入已经都一直限制用LAN和HTTPS，没有其他Web登入服务，但是不懂怎样阉 ...

找了下，參考這篇，其它的自己再找找看！
如何查詢地區性的所有IP網段 ?

cremaker

所以你哪些訊息是 CLOUD 登入錯誤錯誤的訊息！
我是想到一個方法，使用 GEOIP 來 BAN，當對方連到你們的 CLOUD 時，只要有 IP ， 利用 GEOIP 來判斷來自何處，若不在允許的範圍內，就幾線，或轉到其它內容！

goodnight

這表示你區網內的電腦, 有開PORT了
另外, 如果你有防火牆, 基本上外對內不用擔心, 因為外對內一定要有對應
但是如果是你的 LINUX SERVER 直接對外, 最好開軟體防火牆, 所有的port關掉

cremaker

goodnight 發表於 2017-5-15 11:49 AM
這表示你區網內的電腦, 有開PORT了
另外, 如果你有防火牆, 基本上外對內不用擔心, 因為外對內一定要有對應
...

有提供服務一定會開 PORT。IP 只是一個地址， PORT 就好像是服務的櫃台，沒這些櫃台是無法提供服務的，不過有些用不到的櫃枱可關掉，只留下必要的櫃枱（PORT)。進一步的可對這些不得開放的 PORTS 做一些存取控制。這時，好的 FIRE WALL就很重要了！一般的 ROUTER 這方面功能很差！

cremaker

樓主是用 openstack 來架 cloud?

tonyufo

要看大大的防火牆是哪種了，像小弟我用fortigate 60c(很舊了)，直接開放來源國家，其它全擋

至於怎麼加入國家呢，下圖解釋嘍



補充一下，上面那是有設備，不用錢的方法

Fortigate可以買一種叫四合一的，就能夠直接透過服務的方式，幫你把這種攻擊來源直接阻擋

xiaolaba

tonyufo 發表於 2017-5-19 02:47 PM
要看大大的防火牆是哪種了，像小弟我用fortigate 60c(很舊了)，直接開放來源國家，其它全擋

至於怎麼 ...

謝謝你的資訊
如果先不改硬體 是不是可先用舊PC湊個來試試效果呢
以前聽過一個軟碟就包好的簡易防火牆 不過忘記了名字

tonyufo

xiaolaba 發表於 2017-5-19 03:51 PM
謝謝你的資訊
如果先不改硬體 是不是可先用舊PC湊個來試試效果呢
以前聽過一個軟碟就包好的簡易防火牆 不 ...

https://www.brazilfw.com.br/forum/

您說的是這個嗎?

ew75035

一般的暴力攻擊 大都是透過IP SCAN的方式選出一個IP再找一個特定PORT來做攻擊
較少會用PORT SCAN的方式來攻擊所有的PORT(是較少而不是沒有)
例如要攻擊TELNET那它一定會去攻擊23埠, 要TRY FTP找的是20 21埠
像樓主使用SSH那它攻擊找的就是22埠了
面對這種攻擊在採用防火牆或其它方式防堵之前, 其實還有一個更簡單的方法來做預防
那就是將常用的PORT給 "改掉" 使用其它不常用的PORT代替
像SSH那就不要使用常用的22埠來連了 改使用其它的埠 如 1748 8888 9999 ...
當然 server改了client也要跟著改才能連的上
像樓主使用dropbear可以在執行的時候加一個參數來改連線的port
/usr/sbin/dropbear -p 1577
另外建議把root login的功能也給關掉 使用一般帳號登入再su進root會更安全些
/usr/sbin/dropbear -w -p 1577