서버 SSH 아이디 패스워드 무차별 대입 공격 방어 대응 하기

서버의 용량을 확인하다가 갑자기 불어난 로그를 보고 뒤늦게 대응하게 되었다.

해당파일은 /var/log/secure 파일로, 보통 ssh 접속 등의 로그를 기록하는 파일이다.

상당히 불어난 용량으로 인해 도대체 무엇이 기록되고 있는지 tail -f 명령어로 보고 있는데 거의 3초당 한줄씩 중국쪽으로 부터 SSH 아이디와 패스워드를 무차별적으로 대입하여 접속을 시도하는 공격을 받고 있었다.

이는 로그 파일의 용량도 용량이거니와 이대로 방치하면 언젠가는 뚫릴수도 있기 때문에 대책을 하기로 했다.

먼저 서버의 로그파일을 확인하여 이러한 공격을 받고 있는지 확인해보도록 하자.

로그 확인

cat /etc/syslog.conf

CentOS 및 Fedora의 경우

cat /var/log/secure | grep "Invalid user"
cat /var/log/secure | grep "Failed password"
cat /var/log/messages | grep "failure"

webmin의 경우

[시스템]->[시스템 로그]에서 해당 로그 확인

설정 변경

/etc/ssh/sshd_config의 설정 변경

vi /etc/ssh/sshd_config

아래의 내용을 변경 및 추가(보통 주석처리 되어 있으므로 주석을 풀고 설정을 변경하고 없으면 추가한다.)

MaxAuthTries 3 # 최대 동시 인증수를 3으로 변경
MaxStartups 2:90:4 # 2번을 넘는 인증 시도는 90%확률로 차단 4번을 넘으면 전부 차단

각 프로퍼티의 내용은 검색을 해보길 바라며 이것으로 기본적인 대책은 완료.

ssh 재시작

service sshd stop
service sshd start

CentOS7 이상의 경우

systemctl stop sshd.service
systemctl start sshd.service