* 넥스트라인 기술부입니다.

넥스트라인에서는 ssh(tcp:22) 에 대한 무작위 대입공격(dictionary attack)을 미연에 방지하고자
다음과 같은 참조문서를 제공합니다.

보다 안정적인 시스템 운영을 위해 고객님들의 많은 검토를 부탁 드립니다.

********************************************************************************************

* 본 문서가 지원하는 os : redhat 계열의 모든 linux 군

먼저, 다음과 같이 외부로부터의 ssh 공격여부를 확인합니다.

shell> grep "Failed password for illegal user" /var/log/secure

경우에 따라, 사용하고 있는 crt 프로그램(secure crt, putty) 화면이 여러 번 스크롤될 정도로
상당이 많은 공격시도가 있음을 확인할 수 있을 겁니다.

<무작위 대입공격(dictionary attack)의 로그기록 예>------------------------------
| Failed password for illegal user (root) from 111.222.333.444 port 50662 ssh2  |
| Failed password for illegal user (test) from 111.222.333.444 port 50139 ssh2  |
| Failed password for illegal user (user) from 111.222.333.444 port 50528 ssh2  |
| Failed password for illegal user (admin) from 111.222.333.444 port 50405 ssh2 |
| Failed password for illegal user (guest) from 111.222.333.444 port 50281 ssh2 |
| Failed password for illegal user (a) from 111.222.333.444 port 50805 ssh2     |
| Failed password for illegal user (b) from 111.222.333.444 port 50933 ssh2     |
| Failed password for illegal user (c) from 111.222.333.444 port 50805 ssh2     |
| Failed password for illegal user (d) from 111.222.333.444 port 50933 ssh2     |
--------------------------------------------------------------------------------

위 예와 같이, 외부(111.222.333.444)로부터 root, test, user 등의 계정으로 무작위 대입에 의한
접속이 시도되며 만약, 운영중인 서버의 비밀번호가 빈(null)암호 이거나 1234 등의 유추 가능한
비밀번호로 설정한 경우에는 손쉽게 해당서버의 접속(상승)권한을 얻을 수 있습니다.

이러한 ssh 데몬에 대한 무작위 대입공격을 방어하기 위한 방법으로는...

① iptables 을 통한 특정 ip 만의 접속허용 설정 -> 넥스트라인 방화벽(iptables) 마법사 참조!
② ssh(tcp:22) 서비스 포트변경 / root 로의 ssh 직접 접속을 금지
③ tcp_wrapper 을 통한 특정 ip 만의 접속허용 설정등...


본 문서에서는 위 방법외에 외부접속 시도를 기록하는 파일인 /var/log/secure 모니터링을 통해
유해 접속시도 ip 를 원천 차단하는 방법에 대해 설명 드리겠습니다.

① 먼저, 관련 스크립트를 /root/bin 디렉토리내에 다운로드 합니다.

   다운로드 url : http://www.nextline.net/util/ssh_dos_block.sh

② 다운로드한 ssh_dos_block.sh 파일에 실행권한을 부여합니다.

   shell> chmod 700 /root/bin/ssh_dos_block.sh

③ ssh_dos_block.sh 스크립트가 30분 마다 자동실행 되도록 /etc/crontab 에 등록합니다.

   shell> echo "*/30 * * * * root /root/bin/ssh_dos_block.sh" >> /etc/crontab

   또는 /etc/crontab 에 */30 * * * * root /root/bin/ssh_dos_block.sh 구문추가

참고적으로, 유해 접속시도 ip 에 대해서는 ssh, ftp 등의 네트웍 접근을 차단하기 위해서
/etc/hosts.deny 파일에 등록하게 됩니다.


* 관련설정 중, 문의사항은 본사 퀵메일 또는 기술부로 연락바랍니다.

  넥스트라인 기술부 : ☏ 02-6288-6661 내선 101~103


* 문서 작성일 : 2006/02/21