การโจมตีแบบ ssh brute-force เพิ่มมากขึ้นช่วงปิดเทอม

SANS Internet Storm Center ได้พบว่า การโจมตีแบบ ssh brute-force เพิ่มมากขึ้นช่วงปิดเทอม นั่นแสดงว่าเด็กๆมีเวลาว่างมากขึ้นทีจะลองวิชาที่เรียนมาจากทั้งในและนอก รั้วโรงเรียน จากรายงาน ผู้ไม่หวังดีได้ใช้วิธีโจมตีแบบี ?low and slow? เพื่อหลีกเลี่ยงการล็อคของชื่อผู้ใช้งาน และเพื่อหลบการตรวจจับของ IDS/IPS ผู้ไม่หวังดีบางคนใช้ botnets เพื่อทำการโจมตีแบบ distributed style attact เพื่อไม่ให้เกินระดับปกติหรือเป็นที่ผิดสังเกต

Jim Owens และ Jeanna Matthews แห่งมหาวิทยาลัย Clarkson University ได้เสนอ รายงาน สถิติของ password ที่ใช้ในการ brute-force ด้วย โดยมีรายงานของ password ที่ถูกเดามากที่สุด ดังนี้

123456
password
12345
test
admin
1234
123
root
qwerty
abc123
administrator
12345678
user
linux
test123
guest
mysql
1234567
apache
master

src
http://arstechnica.com/news.ars/ ... e-attacks-rise.html
http://isc.sans.org/diary.html?storyid=4408
http://people.clarkson.edu/~owensjp/pubs/leet08.pdf

เพิ่ม เติม
โดยทั่วไปผมใช้ iptables เพื่อ disable new connections ขงอ sshd แบบนี้

iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 2 --name DEFAULT --rsource -j DROP
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name DEFAULT --rsource



Credit net-mai