SSH нападают на CentOS Amazon EC2

В основном Вы завинчены.

Если Вы были на самом деле использованы, они, возможно, добавили себя бэкдор в двоичный файл SSHD или любой другой файл в системе... Так как источник доступен, это легко сделать, и чрезвычайно трудно определить, если Вы не запланировали заранее.

Если у Вас не было Растяжки или подобный установленной, прежде чем проблема произошла, Вы в основном оказываетесь перед необходимостью проверять каждый файл в системе против известной чистой установки.

Легче просто переместить Ваше приложение в чистый сервер.

Лучшее предотвращение является сканером целостности файлов. В основном это проверяет каждый файл в системе и напортачило в нем. Затем это периодически повторно сканирует и уведомляет Вас относительно любых изменений. Делает очищают бриз.

Я соглашаюсь, что Вы, вероятно, не стали использованными через SSH... Я почти никогда не видел, что происходят, и когда это действительно происходит, это обычно из-за неисправленной уязвимости в демоне. Скот, вызывающий пароль SSH, обычно является проигранным делом.

Править: Я читал на Osiris этим днем, и это выглядит довольно прохладным. Это периодически повторно сканирует и посылает Вам электронное письмо измененных файлов. Версия для предприятия Растяжки предлагает проверку в реальном времени, но конечно необходимо заплатить за нее. Существует версия с открытым исходным кодом Растяжки также, которая подняла узды с большого количества растяжки с открытым исходным кодом значительно старше и довольно тверда также.

Вы уверены, что это не Rightscales "rightscripts" (шеф-повар), просто прокладывающий по Вашим изменениям?

Его крайне маловероятное Ваш sshd получил comprimised, если Вы не используете шесть символьных строчных английских паролей слова.

Перед чем-либо еще: сделайте вдвойне бесспорными с кем-либо еще, у кого есть root/sudo доступ, что они не реконфигурировали это. Вы не хотите идти, преследуя нападение, которого не произошло.

Примечание: сценарий нападения звучит маловероятным. Большинство людей, достаточно умных для взлома машины, не достаточно глупо изменить такие очевидные вещи, поскольку порт SSH слушает на. Почему беспокойство?

После того как Вы решили, что Ваша машина была поставлена под угрозу, рассмотрите что-либо, что Вы ввели или сохранили на той общедоступной информации сервера. Пароли изменения, ключи SSH, и т.д.

Затем, необходимо определить наиболее вероятную точку входа. Если у Вас нет некоторых смешных паролей, я сомневаюсь очень, что SSH был исходным компромиссом. Астрономически более вероятный то, что кто-то получил доступ через одно из Ваших веб-приложений.

• Изолируйте каждое из своих приложений к его собственному совершенно новому экземпляру EC2. Они являются дешевыми. Компромиссы безопасности могут уничтожить Ваш бизнес. Выполнение этого поможет Вам изолировать любые уязвимости к отдельному приложению, которое имеет удобный побочный эффект обвинения, когда/если нападение действительно происходит.

• Проверьте свои версии на известные уязвимости. Или проявите подход ружья и обновите все до его новейшей версии.

• Если какое-либо из Ваших приложений работает как корень, фиксирует это теперь.

• Если какое-либо из Ваших приложений работает вне chroot, фиксирует это теперь.

• Создайте центральный сервер системного журнала без стоящих внешним образом серверов. Установите каждые из своих приложений для входа максимально verbosely с помощью системного журнала к этому серверу. Когда/если нападение произойдет, Вам будет нужна судебная экспертиза для определения, куда это прибыло из и как они вошли.

• Если Вы предоставляете паролю доступ SSH к этим серверам, не делать. Изменитесь на ssh ключи.

• Полагайте, что Растяжка установки, Osiris или другой монитор целостности определяют, когда что-то плохо произойдет.

Сложный взломщик попытается замести следы. Если Вы не имеете в распоряжении мониторы и гарантии для записи то, что продолжается в, упорно искание его будет упражнением в тщетности. Сохраните свою систему максимально безопасной и удостоверьтесь, что любое нечетное действие не останется незамеченным.

Править

Так как Вы упомянули некоторые отклоненные разрешением ошибки для корня, проверьте, что корень является единственным пользователем, присвоенным UID 0 (getent passwd 0). В противном случае Вы определенно скомпрометированы.

Если какие-либо бинары были изменены, вы можете запустить "rpm -aV". Это будет соответствовать md5 установленным rpm вместо двоичного файла на диске (а также проверять разрешения и тому подобное). Это не совсем tripwire - и не будет определять, явно ли изменился какой-либо загруженный пользователем контент, но если что-то было изменено в / usr или / bin и т. Д., Оно должно появиться.

Он будет отмечать кучу ложных срабатываний для вещей в / etc который был намеренно изменен, поэтому вам нужно будет просмотреть его вывод после его запуска.