Comment savoir si quelqu'un tente en ce moment de deviner les mots de passe de nos serveurs SSH ?

Regardez le journal d'authentification du serveur : de nombreux échecs de connexion pour root, admin ou des noms d'utilisateur aléatoires, depuis une ou plusieurs adresses, en sont le signe classique, et des outils comme Fail2ban les comptent pour vous. Sur un serveur exposé à Internet, une partie de ce bruit est permanente ; l'important est de savoir si une tentative a réussi : cherchez des connexions réussies depuis des adresses inconnues, à des heures inhabituelles ou sur des comptes rarement utilisés, et vérifiez que les connexions par mot de passe sont désactivées. Les tentatives venant de votre propre réseau sont plus graves, car elles signifient qu'un hôte compromis fait les essais. NetSenX signale les tentatives de connexion répétées contre les hôtes surveillés comme attaque par force brute, sur toutes les offres, avec les balayages et les sessions inhabituelles, de sorte que les tentatives venant d'un hôte interne se remarquent. Depuis le réseau, il ne peut pas savoir si un mot de passe a été accepté ; le journal du serveur, si.

← Les 40 questions sur Télétravail et services exposésTous les thèmes