Cosa fare quando qualcuno ha effettuato l'accesso come root sul mio server

Ho un server che esegue Debian 6.0 con logcheck installato. Ieri fa ho ricevuto questo messaggio:

Jan 19 19:15:10 hostname sshd[28397]: Authentication tried for root with correct key but not from a permitted host (host=4.red-2-140-77.dynamicip.rima-tde.net, ip=2.140.77.4).

Non so chi sia e dubito che fosse lì per caso.

Ora cosa dovrei fare?

La prima cosa che ho fatto è stato disabilitare l'autenticazione con password ssh e passare alla chiave pubblica / privata. Controllo anche il file authorized_keys e ho visto solo la mia chiave pubblica

Quale prossimo?

Come posso sapere cosa ha fatto l'altro ragazzo sulla mia macchina?

— Ben
fonte

Sei sicuro che questo messaggio non sia un falso? Hai controllato i tuoi registri?

— Cesare,

Risposte:

Credo che questo sia un bug che è rimasto in sospeso per troppo tempo e che è stato risolto nelle versioni successive (6.0p1).

Dovrebbe essere abbastanza facile verificarlo provando a connettersi al sistema da un host che sarebbe limitato, usando una chiave diversa e vedendo quali messaggi ricevi.

— user9517
fonte

In effetti ho provato con un'altra macchina, non riesco ad accedere e ho ricevuto lo stesso messaggio di controllo. Immagino sia l'errore ...

— Ben

Questo potrebbe essere un bug di vecchia data in OpenSSH che è stato corretto solo in 6.0p1 . In tal caso, puoi tranquillamente ignorarlo. Tuttavia, se vuoi essere sicuro, la risposta originale (supponendo che non sei interessato da questo errore) è:

Le tue chiavi private ssh sono state probabilmente compromesse, dal momento che qualcuno aveva una chiave privata valida per accedere al tuo account di root. Il fatto che qualcuno non abbia effettuato l'accesso da un indirizzo IP autorizzato ti ha salvato da ulteriori compromessi. Tuttavia, questo è un compromesso significativo; suggerisce che la workstation (o altra macchina da cui si lavora in genere) è stata compromessa.

Dovresti considerare ogni workstation e server che tocchi potenzialmente compromesso. Formatta e reinstalla le tue workstation. Revoca / distruggi tutte le tue chiavi ssh esistenti e riscrivi tutto. Cambia tutte le password. Valuta vivamente di cancellare e reinstallare tutti i server su cui hai accesso per accedere con questa chiave.

— Michael Hampton
fonte

Grazie per la tua risposta, quello che trovo molto strano è che non ci sono stati tentativi falliti prima di questa connessione riuscita. Di solito, quando qualcuno sta provando a connettersi come root sul mio server, vedo diversi tentativi falliti. Qui, la connessione è riuscita direttamente ... e la password di root non è qwerty: è una password generata

— Ben

Se stai effettivamente utilizzando fromrestrizioni authorized_keyscome mostrato nei link, allora probabilmente sei interessato da questo errore. Ma sbaglierei per prudenza ...

— Michael Hampton

Ben, la complessità della password di root è irrilevante per questa voce di registro, perché l'accesso è stato fatto dalla chiave.

— MadHatter,

mmmh ... L'autenticazione con password è stata abilitata, quindi ho pensato che l'intruso trovasse quella password, non che usasse le chiavi private / pubbliche. Com'è possibile?

— Ben