Utrudnianie życia hackerom skanującym serwery

•

Istnieje wiele poradników o tym, jak zabezpieczyć serwer przed włamaniem. Ja czasami stosuję metodę, którą nazywam "znęcaniem się nad atakującymi" ;) Instaluję oprogramowanie, które marnuje czas, zasoby i pieniądze osobom skanującym moje serwery 🧵 ↓

Pierwsza rzecz to zmiana portu SSH z domyślnego 22 na coś znacznie wyższego. Na oryginalnym porcie 22 stawiam natomiast endleSSH - aplikację, która symuluje w pełni funkcjonalny serwer SSH, ale połączenie z nim zajmuje... no właśnie, bardzo długo.

EndleSSH działa sprytnie. Wysyła nieskończony, losowo generowany banner SSH. Atakujący myśli, że nawiązuje normalne połączenie, a w rzeczywistości jego bot wisi na tym połączeniu godzinami (albo dniami). W międzyczasie ja spokojnie korzystam z prawdziwego SSH na innym porcie.

Druga zabawka to GhostPort. To aplikacja, która za każdym razem, gdy ktoś skanuje port, zwraca losowy banner przedstawiający podatną aplikację albo starą wersję jakiegoś softu. Dla atakującego wygląda to, jak serwer pełen dziur.

GhostPort można bardzo prosto postawić, a potem za pomocą reguł firewalla przekierować do niego ruch z dziesiątek/tysięcy portów. Wtedy skan portów wygląda tak, jakby na serwerze działało np. 1000 różnych usług. Atakujący marnuje czas próbując exploitować nieistniejące usługi.

Kolejny pomysł na znęcanie się script kiddies to pliki pułapki. Zostawiam na serwerze pliki typu .env, czy fałszywe pliki z instalacji WordPressa. Choć bardzo mnie kusiło, aby te pliki zwracały fork bombę, to jednak robią coś innego - banują użytkowników na całej infrastrukturze moich serwerów.

To nie zatrzyma zdeterminowanego atakującego. To tylko zabawki. Dzięki nim jednak zasoby atakujących są marnowane i nie mogą być użyte na serwery innych osób. Czy mnie to coś kosztuje? Nie. Skan i tak miałby miejsce, a 3-4 wiszące dniami połączenia na endlessh są nieodczuwalne.

Jeśli chcecie, to mogę opisać, jak sprytnie zaimplementować pułapki blokujące agresorów na całej infrastrukturze serwerów - z mocnym naciskiem na Apache, bo z nim jest SPORY problem, zwłaszcza gdy ukryjemy go za CloudFlare, a jest to metoda stosowana na Mikrus VPS.