Is SSH openlaten op internet slechte praktijk, zelfs met Fail2ban?
Fail2ban helpt, maar maakt een open SSH-server niet veilig. Het blokkeert adressen na een aantal mislukte aanmeldingen, wat het raden van wachtwoorden en de ruis in de logs vermindert, maar aanvallers spreiden hun pogingen over veel adressen, en het doet niets tegen een kwetsbaarheid in de SSH-server zelf of een gestolen privésleutel. De echte bescherming zit in de configuratie: alleen aanmelden met sleutels, aanmelden met wachtwoord en als root uitgeschakeld, OpenSSH bijgewerkt en toegang beperkt tot bekende bronadressen of achter een VPN of bastionhost. Is dat geregeld, dan is Fail2ban een redelijke extra laag. Controleer regelmatig welke servers SSH überhaupt aanbieden; de vergeten servers zijn het risico. NetSenX ziet verbindingen met bewaakte SSH-servers en detecteert herhaalde aanmeldpogingen, scans en ongewone sessies, op elk abonnement. Het blokkeert zelf geen adressen; dat doet Fail2ban of de firewall.
Lees verder
Gerelateerde vragen
- Helpt het om SSH naar een niet-standaard poort te verplaatsen?
- Hoe weet ik of iemand nu wachtwoorden op onze SSH-servers probeert te raden?
- Worden wij geraakt door OpenSSH-kwetsbaarheden zoals regreSSHion?
- Kan malware via een SSH-sessie terug naar mijn computer komen?
- Hoe kunnen SSH-tunnels een firewall omzeilen?
← Alle 40 vragen over Thuiswerken en blootgestelde dienstenAlle onderwerpen