安全基础基于SSH的恶意登录攻击分析

　　然后我们分析了是谁在攻击蜜罐系统，以及这些攻击有什么规律。在这次攻击中有23个不同的IP进行恶意登录。这些攻击者有的攻击的次数并不多，但有的却是弃而不舍。表3显示了这23个IP的攻击情况。在这些IP中有10个IP的攻击次数小于50，有5个IP的攻击次数在170左右，还有8个IP的攻击次数在1450以上。图2显示了这些IP攻击次数分布图。

　　“成功”的恶意登录攻击

　　在上面的分析中，我们只是分析了未成功的登录攻击。这些分析使我们长了不少见识，知道了黑客是怎样进行攻击的。但还有很多问题没解决。这些问题之一就是这些攻击是否是通过工具进行的。在7月2日，一名黑客成功地通过猜到的用户名和密码进入了蜜罐系统。被截获的数据将回答这些未解决的问题。

　　首先让我们来看看黑客在成功登录蜜罐后做了什么。一但黑客进入蜜罐后，他们就开始以蜜罐系统作为跳板通过SSH扫描工具来扫描其它的SSH服务器。但由于蜜罐系统的网络输出已经用防火墙封死了。因此，扫描并未找到任何SSH服务器。

　　在扫描后，黑客在蜜罐系统上安装了一个IRC服务端。黑客可以通过这个IRC服务端来控制被攻击的服务器。使用IRC工具控制服务器可比使用SSH进行登录方便多了。黑客可以通过这个工具同时控制很多这样的服务器。

　　通过监视IRC数据流，我们发现黑客正在使用这个工具来扫描我们的B类网络。在几个小时之内，黑客通过这个工具扫描了4个B类网络，在这4个B类网络中包含了数千台SSH服务器。在扫描其间共使用了160,324个帐户和密码。这些用户名和密码和在攻击蜜罐系统时使用的用户名和密码类似，但它们的范围更广。

　　建议

　　在前几部分我们通过分析了解了黑客的一些企图和攻击方法。在这一部分让我们看看如何来防范他们的攻击。

其实有很多简单的方法可以阻止这些攻击。最直接的方法用是关闭daemon服务，这个服务在许多系统中默认是启动状态。当然，如果你不想这么做，那么还有其它的方法。

　　你还可以使用Unix或Linux系统中的/etc/hosts.allow和/etc/hosts.deny文件来限制对daemon服务的访问。还可以在SSH服务器上安装一个防火墙，用于隔离内部和外部的网络。

　　使SSH服务器只可以被指这的用户访问

　　将SSH服务器的监听端口从22改为其它的端口。当然，这么做并不能防止服务器被攻击，但它可以降低发现SSH daemon服务的可能性，因为，一般的SSH扫描工具的默认端口都是22。

　　更改登录验证的方式，即不使用密码进行登录。如果你没有这个条件，那就将密码设成强密码。

　　SSH为我们提供了一种更安全的加密方法，通过这种加密方法可以有效地缓解这种攻击方式。这种方法是基于密钥的，也就是所谓私钥和公钥。公钥被放在服务器上，供登录用户访问。这个公钥只有和相应的私钥相匹配后成功才能登录。一但你使用了密钥，那么就只有自己才可以通过私钥进行登录，而黑客由于没有私钥，而且这些种私钥又很难猜测，因此，黑客的任何登录都会以失败告终。虽然大多数服务器在默认情况下都提供了密钥登录，但有些管理员并没有将基于密码的登录关闭，这就给黑客留了一个后门。因此，在配置服务器时，切记只启动密钥登录，而不要启动密码登录，这样才能万无一失。

　　如果必须采用密码验证方式，那就将帐户名起得复杂一点。我们通过蜜罐系统观察到，大概有96.3%的默认帐户被猜到，一旦帐户被黑客猜到，那么黑客就已经将一只脚踏进了你的门。因此，在设置帐户时不要使用简单的名子，如’Peter’, ‘Mike’等，而要使用姓名的组合，如’seifer_chr’。这样可以降低帐户被黑客猜到的可能性。

　　另外，这个’root’帐户在大多数服务上都存在。我们推荐你将这个用户关闭，而使用其它的帐户来管理服务器。

　　黑客一般使用大多数系统都存在的帐户进行攻击，如ftp或mysql。如果这些帐户和系统帐户有什么联系的话，那将是非常危险的。所以我们建议在不需要这些帐户时，将FTP或MySQL以及其它服务关闭。

　　除了需要复杂的帐户名外，拥有强壮的密码也非常重要。我们发现有很多服务器的密码就是帐户名后加一些数字，更有甚者密码和帐户名完全一样。当然，这可以是一些系统管理员或用户的习惯。我想最好的办法是在服务器安装一些工具软件，如passwd+，以强制用户使用强密码。