Beste sitedealers,

Sinds kort heb ik een server bij TransIP. Op een dag krijg ik ongeveer 25 berichten met de volgende titels:

Brute-Force Attack detected in service log on User(s) root
Brute-Force Attack detected in service log from IP(s) 116.10.191.184 on User(s) admin, root

Moet ik mij hierom zorgen maken?

Alvast bedankt!

Steffan

Is het wel het IP van je eigen server?

Dat heb je sowieso vaak. Niet al te druk over maken zolang je sterke (en lange) passwords gebruikt. Eventueel je ssh op een andere poort dan de standaard (22) hangen.
Op het directadmin forum kun je nog dingen vinden om:

- automatisch ip's te blokken na een x aantal foute logins
- als je echt genoeg hebt van de meldingen kun je de BF notificaties uitzetten.

Maar even de moeite genomen om je stap voor stap uit te leggen hoe je port 22 kan wijzigen naar een andere port om deze meldingen tegen te gaan. Als je vragen hebt stel ze gerust!

1. Als je CSF geinstalleerd hebt als Firewall klik bij CSF op Firewall configuration
https://www.dropbox.com/s/904eg3sevt...2018.04.47.png

2. Zoek naar getal 22 op de pagina
https://www.dropbox.com/s/jxmaluoq4y...2018.06.47.png

3. Verander enkel getal 22 naar je nieuw gewenste ssh port (geen bestaand getal kiezen, neem bijvoorbeeld 88)
https://www.dropbox.com/s/dm5tuwyi4b...2018.08.27.png

4. Klik op File editor:
https://www.dropbox.com/s/dtx1fpaocd...2017.58.45.png

5. Selecteer het sshd_config bestand
https://www.dropbox.com/s/kofpq64clq...2018.00.10.png

6. Vul het root wachtwoord in:
https://www.dropbox.com/s/fygwdvmcky...2017.59.17.png

7. Veranderd port 22 naar bijvoorbeeld 88 en haal het # voor Port weg vervolgens klik je op Save
https://www.dropbox.com/s/ep9nibwxeq...2017.58.16.png

8. Ga naar Service Monitor
https://www.dropbox.com/s/vjsat0s9fi...2018.02.54.png

9. Restart sshd
https://www.dropbox.com/s/xtr3niw8vm...2018.03.38.png

10. Controleer of ssh op je nieuwe port werkt en controleer dat je niet meer kan verbinden via port 22.


Mijn ervaring leert dat deze aanpassing voldoende is om deze meldingen tegen te gaan ;)

Succes!

Het gaat vaak om geautomatiseerde verzoeken van hackers uit andere landen. Het is aan de te raden zowel FTP, DirectAdmin als SSH op een andere poort in te stellen. Dit zijn de drie meest aangevallen diensten op de meeste servers. Hackers kunnen niet de moeite nemen om andere toegangspoorten te scannen via hun software omdat dat teveel tijd kost en te weinig oplevert. Dus op moment vinden er helemaal geen geautomatiseerde inlogpogingen plaats.

Vergeet smtp niet ;)

Super bedankt voor de reacties! Ga morgen aan de slag met de handleiding van Stef.

Vandaag na een dag niet ingelogd te hebben, weer 18 meldingen :s.