보안에 어느정도로 신경을 쓰시고 계신지요?

중국, 루마니아, 파키스탄, 프랑스(여긴 왜 그런지...), 미국 ... 정도가 열심히 뚫으려고 거의 매일 난리칩니다.

그냥 iptables 도배로 막습니다.

한 20분동안 열심히 교등학교 컴퓨터 보안에 관해서 써놨다가..
지금 다 지우고 local에다가 보관했네요..
여기다 공개 했다간 google님께서 가져가실테고, 학교이름으로 검색했다가 나오기라도 한다면, 저는 끌려가겠네요;;

주위에 보안이 허술한 곳은 얼마든지 찾아볼수 있습니다.
특히 관리자 비밀번호가 그냥 admin:admin 정도 만으로도 접근할수 있는 경우가 많더군요... 웹에서.. 보안의식 수준이 어느정도 인지 쉽게 알수 있습니다..
큰 기업이라고 해서 관리를 잘하는것도 아니구요, 외국계 기업이라고 해서 철저한것도 아닙니다.

이런 난국의 시대에.. 자기 정보는 자기가 지키는 수 밖에 없습니다..
회원제 사이트 가입할때 사용할 가상 주민번호를 하나 만들고 그걸 외우고 사용하시고, 주소도 그렇게 마련하시고... 가명 만들어서 쓰는건 기본입니다. 의심가는곳은 abcd/abcd나 1234/1234로 로그인하세요. 10곳중에 4~6곳은 로그인 됩니다.. 제가 돌아다니면서 만든곳도 몇개 있고, 실제로 그냥 사람들이 만들어놓은 경우도 있습니다...

메일주소 관리도 철저히 하시고, 보안 정말 신경쓰셔야 됩니다...ㅎㅎ

이정도 까지 할필요가 있느냐 반문을 제기하실분도 계시리라 믿습니다만...
제 경험에 의하면 이정도 대응으로도 부족한 수준임을 알려드립니다....

대개 요새 뚫으려고 시도 많은 것이 ssh 정도입니다.
다른 곳에서 ssh 를 들어올 이유가 없고 관리자 정도만 접속하는 정도라면 다른 곳은 모두 막아버려도 된다는 얘기가 되는 거죠.

웹 서버에 쓸데없이 ftp 데몬이 돌고 있을 이유는 없지만, 주기적인 업데이트를 위해서 ftp 가 필요하다면 웹마스터 ip 대역 정도만 ftp 를 열어두면 되는 거고요.

물론, 주기적인 보안 업데이트도 중요합니다. 그게 가장 중요하지만, 쓸데없는 공격에 피해 받지 않기 위해서는 쓸데없이 열려 있는 데몬을 막는 것도 쓸만하다고 생각합니다.

솔직히 보안에 별로 신경안씁니다... 날라가면 날라가나보다 뭐 그러고 삽니다. 그대신, 내꺼가 뚤려서 경유지가 되면 여러사람 피곤해질거 같아서 ipchain(iptable로 바꿔야하는데...)으로 포트 다 막아놓고 그냥 씁니다.
윈도는 깔때 방화벽켜둡니다. 더 이상 뭐... 할게 없더군요.

대충 요새 보면 ...

Nov 14 18:08:50 www sshd(pam_unix)[12297]: check pass; user unknown
Nov 14 18:08:50 www sshd(pam_unix)[12297]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr
Nov 14 18:08:51 www sshd(pam_unix)[12298]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr  user=admin
Nov 14 18:08:54 www sshd(pam_unix)[12301]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr  user=admin
Nov 14 18:08:56 www sshd(pam_unix)[12304]: check pass; user unknown
Nov 14 18:08:56 www sshd(pam_unix)[12304]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr
Nov 14 18:08:56 www sshd(pam_unix)[12307]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr  user=root
Nov 14 18:09:00 www sshd(pam_unix)[12308]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr  user=root
Nov 14 18:09:05 www sshd(pam_unix)[12344]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=203-236-214-206.rev.nextel.co.kr  user=root
Nov 14 19:01:02 www sshd(pam_unix)[15031]: session opened for user root by (uid=0)
Nov 14 20:06:36 www sshd(pam_unix)[18800]: check pass; user unknown
Nov 14 20:06:36 www sshd(pam_unix)[18800]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=218.21.129.104
Nov 14 20:06:39 www sshd(pam_unix)[18803]: check pass; user unknown
Nov 14 20:06:39 www sshd(pam_unix)[18803]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=218.21.129.104
Nov 14 20:06:41 www sshd(pam_unix)[18806]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=218.21.129.104  user=admin
Nov 14 20:06:43 www sshd(pam_unix)[18807]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=218.21.129.104  user=admin

이런 류의 무턱대기 공격류가 많습니다.
그냥 .. 저 보안 패치만 꾸준히 하고.. ip 만 막아버리면 별로 걱정할 게 없죠.

debianusers.org에서 본 질답에서 sshd_config의 MaxStartups를 이용해보라고 해서 해봤는데, 별 소용이 없더라구요. man page를 자세히 읽어보니 한 IP가 n번 접속 시도시 block을 거는 것이 아니라 동시 접속자수가 n명 이상일때 인증되지 않은 접속을 차단하는 것인 것 같던데.. 그래서 차단이 안된 것 같습니다. portsentry는 차단을 감지하지 않는 것 같고..

음.. 로그인애러 한 10번쯤 나면 그 IP에 대해서 하루정도 접속하지 않도록 하려면.. 스크립트말고는 방법이 없을까요? sshd 자체적으로 해결하는 방법이 있으면 알려주세요~~ (man 페이지는 뒤져봐도 별로.. 뾰족한 수가 없는 것 같던데... ㅠ.ㅠ)

같이 쓰는 컴터를 관리한 적이 없어서...대충 다 막고 살아도 되더라고요...ㅡㅡ;

윈도는 그냥 윈도업데이트 꼬박꼬박해주고, v3 항상 감시하게 해놓고
인터넷 익스플로어랑 아웃룩 보안레벨 약간 올려놓고, 수상한 ActiveX 안 깔고.
쓸떼없는 공유나 서비스 같은거 다 꺼놓고... 별 문제 없었던 것 같습니다.

BSD는 메일링 리스트봐서 보안사항있으면 관련있는지 보고 업데이트해주고
서비스는 ssh로 쓰고, 확실한 ip에서만 접근권한 풀어주고...
다른 ip는 수상한 것 감지되면 바로 막아버리고... 불필요한 ICMP도 막고...

마지막으로 ccrtcc랑 보안 메일링 몇 군데 봐서...
이상한 웜이나 구멍 소식 있으면 막아주고 그럽니다.

저 같은 경우에는 guest/guest 계정을 만들어 둡니다.

그럼 중국X가 스캔을 쫙 해보고는 아싸 좋구나 하면서

접속을 하지요.

그럼 제가 자작한 쉘에 걸리게 됩니다. 그 쉘이란 이름도

무색한 그 프로그램은 접속자에게 '훡뀨' 를 날려주고 접

속을 끊습니다.

그럼 두번의 접속은 없습니다. 음화화화화화

다음을 참고하세요.

A Cure for the Common SSH Login attack
http://www.hostlibrary.com/A-Cure-for-the-Common-SSH-Login-Attack-195586.html

예전에 저도 뭔가 쌈박한 방법이 없을까 해서 찾다가 발견한 것인데,
좀 귀찮아서 실제 적용은 안하고 있다가 관련 내용이 나와서 링크합니다.

그나저나 Snort에는 이 SSH Login Attack을 감지하는 룰이 없나요?

저도 방금 살펴보았는데.. 징하군요..
굉장하다는 느낌..

예전에 고딩때 양아치 녀석들이 휴대폰 하나 훔쳐서 크래킹을 시도하더군요.

가능 한 모든 번호를 다 눌러보는 것이였습니다.

무식한 그네들도 나름대로 전략을 세웠습니다. 한명이 1000개씩만 맡더군요. 몇명이 교대하더니 풀어내더군요.

만약 휴대폰이 인터넷으로 크래킹이 가능했다면 중국 애들은 번호 하나당 한 사람이 붙을지도 모르겠습니다. -_-

ssh는 포트만 바꾸어 주어도 공격은 현저하게 줄어들 겁니다. 저같으면 회사 방화벽이 ssh 포트를 허용하지 않아서
(막은것도 저지만 ^^) 다른 포트에 바인딩해서 쓰거든요.

윈도우 터미널 포트도 바꾸어도 사는데 별 지장 없습니다.

spam 방화벽 중에 OpenBSD의 spamd처럼 일부러 속터지게 만드는 방법이 있는데, sshd도 그렇게 대응하면
스캔 효율을 현저하게 저하시켜서 사기를 낮출 수 있지 않을까요?

--
익스펙토 페트로눔