Wie stoppe ich SSH-Brute-Force-Angriffe?

Kurze Antwort

Deaktivieren Sie die Passwort-Authentifizierung vollständig – Brute-Force gegen SSH mit Schlüsselbasis ist nicht möglich. Fügen Sie fail2ban hinzu, um das Log-Rauschen zu reduzieren, und ziehen Sie in Betracht, SSH von Port 22 zu entfernen, um das Scanvolumen um etwa 95 % zu reduzieren. Die stärkste Option ist, SSH hinter WireGuard zu platzieren, sodass es nie dem öffentlichen Internet ausgesetzt ist.

Den Port zu ändern ist für sich genommen keine Sicherheitsmaßnahme, aber es ist eine tatsächlich wirksame Rauschreduzierung: Die überwiegende Mehrheit der automatisierten Scanner versucht nur Port 22. In Kombination mit rein schlüsselbasierter Authentifizierung ist das Restrisiko vernachlässigbar.

Der korrekte Endzustand für einen sensiblen Server ist überhaupt kein öffentlicher SSH-Listener. Binden Sie sshd an ein WireGuard-Interface, und die Administration erfordert zuerst den Tunnel. Nichts im öffentlichen Internet kann auch nur einen Authentifizierungsversuch starten.

Wie stoppe ich SSH-Brute-Force-Angriffe?

Verwandte Fragen

7 Antworten zu Einrichtung und Betrieb