阿里云 ECS 遭到属于阿里云 ip 的暴力破解攻击

[uxstone]

之前在云盾里看到过暴力破解的攻击,ip 都是乱的，什么地方的都有,

但最近半个月的暴力破解都是来自阿里云自己的 ip, 提交工单，阿里云也就敷衍下，压根就没有实际动作(说会关停相应的攻击者的主机)

你们也遇到过同样情况吗？ 特别是这个 120.27.122.161
云盾显示攻击者全球累计攻击次数: 10345 还能照常访问。。。。

哪天一不留神就做了别人的肉鸡

[wy315700]

只能说攻击者用了阿里云的机器罢了

[Bardon]

大多是 80 端口的扫描吧，只要你的 web 程序不是老古董，那么无视即可，别被阿里云恐吓了。
挂个纯静态页面，也能提示你受到各种各样的攻击。

如果 ssh 爆破，那么显然你需要一个 ssh key 。

[aheadlead]

你的才 5 位数……

[aivier]

每天登陆 SSH 都能看到几十万次的爆破，密码够强也没什么关系~

[Keyes]

yum install denyhosts
systemctl enable denyhosts
systemctl start denyhosts
然后 ssh 改成证书登陆，应用没问题就很难被人爆破

[openbaby]

如果必须要用密码登陆的话，
1.阿里云安全组配置只开放相应对外服务端口，其他端口一律阻止。
2.修改 ssh 端口
3.设置复杂用户名&12 位以上数字大小写字母符号密码
4.禁止 root 登陆
5.su-密码设置为另一个 12 位数字大小写字母符号密码
6.限制每 10 秒扫描 5 个端口即拉黑 600 分钟。


你整成这样，扫的人也就没劲了，这 TM 要扫到猴年马月。。

[heiguo]

可以配一个 fail2ban

[Vie]

@openbaby 猴年马月貌似快到了。。。

[Laynooor]

我的 ECS 和这个 IP 在同一网段.. 应该也是学生机

[realpg]

@Laynooor
建立个蜜罐环境，设置个弱口令，被破解后看看他要干什么，然后报网警
我玩过

[BOYPT]

我猜是阿里云的云盾什么都有自己的扫描系统……

[icybee]

证书安全很多 && 写程序稍微注意一下安全性

[openbaby]

@Vie 额，你懂的我说的猴年马月一般人见不到的。。

[wujunze]

@aivier 怎么看到爆破记录?

@realpg 这个主意不错 有没有具体操作步骤?

[WildCat]

@wujunze 把默认端口改别的
挂载个 docker 容器 ssh 端口到 22 就好了

[wujunze]

@WildCat 然后要不要装上记录入侵者信息的软件?

[8cbx]

一个办法是手动添加黑名单，就在 ECS 的安全组里，另外一种方法就是在服务器里面配上 Google Authentication ，每次登陆服务器需要动态验证，这样所有爆破就不用理会了

[aivier]

@wujunze 每次成功登陆都有提示，/var/log/secure

[kn007]

换个端口， 22 做个伪装，或者直接利用 fail2ban ，尝试 22 就 ban

[esile]

随机 16 位大小写特殊符号数字密码 他有兴趣就让它破呗 怕啥