Защита от попыток взлома / взлома на серверах

Question

Недавно я установил сервер Confluence в своем доме и использовал CCProxy для маршрутизации внешнего порта 80 на внутренний порт 8090, который использует сервер Confluence. Но я вижу, что время от времени неизвестные IP-адреса появляются в журнале CCProxy. Я предполагаю, что это происходит от роботов, сканирующих случайные IP-адреса на наличие доступных портов, чтобы проверить их на наличие уязвимостей.

Я увидел то же самое, когда открыл порт 22 на своем NAS для включения SFTP. Внезапно мой NAS написал мне по электронной почте о блокировке этого и того IP-адреса, который пытался получить доступ через SSH (который также использует порт 22). В этом случае я просто изменил порт SFTP на случайный порт в тысячной области.

Но что я могу сделать, чтобы защититься от этого? Что целесообразно сделать для защиты открытых портов? Или я могу просто расслабиться и поверить, что логина / пароля достаточно для предотвращения попыток взлома?

Answer 1

Вы правы, это боты, которые сканируют открытые порты и обычно выполняют атаку по словарю с известными комбинациями электронной почты и пароля.

Учитывая, что они сканируют только определенные порты, вы можете изменить номер порта, отличный от порта 80, и добавить этот порт в URL, например, mydomain.com:8090, чтобы он работал.

Но если вы установили, что после 5 неудачных попыток входа в систему IP-адрес заблокирован навсегда, вы тоже в безопасности. Вы получите множество этих атак в своем журнале, и если ваш журнал достаточно подробный, вы, скорее всего, будете продолжать видеть то же имя хоста или шаблон, который появится с другого IP-адреса. Даже не думай только о временном запрете.

Answer 2

Есть много способов сделать это.

Я бы предложил настроить VPN и требовать доступ через VPN перед доступом к Confluence.

Следующим шагом будет использование HTTPS. Если вы поместите его за прокси-сервер, вам могут потребоваться клиентские сертификаты.

Использование чего-то вроде fail2ban и приличных паролей остановит атаки грубой силы, но не сможет использовать уязвимый код в Confluence, если он существует (и я предполагаю, что это возможно). Необходимо полностью запретить доступ к приложению до выполнения другой проверки.