DDOS sortante Résolu/Fermé

Question

Bonjour,

Le 13 juillet, mon serveur a subis une attaque DDOS sortante.
Voici la trame: 

01:35:48.853830 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto UDP (17), length 33) xxx.3x.17x.11x.37228 > 10x.1x.1x.1xx.8x: [udp sum ok] UDP, length 5


28539 requêtes ont été effectués en deux secondes.
Mon serveur a donc été suspendu par mon hébergeur puis réactivé quelques jours plus tard.

Quand je me suis connecté à mon serveur tout à l'heure, j'ai vu:
"Last login: Fri Jul 13 23:28:44 2012 from 78.129.220.46"


Comment lutter contre ces attaques et de quoi ça peut venir ?

merci d'avance

mamiemando · Answer

Ça vient de 78.129.220.46 qui s'est manifestement connecté en ssh sur ta machine car ton serveur ssh écoute le trafic extérieur.

(mando@aldur) (~) $ whois 78.129.220.46
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '78.129.220.0 - 78.129.220.255'

inetnum:        78.129.220.0 - 78.129.220.255
netname:        Rapidswitch_22
descr:          Rapidswitch Ltd
country:        GB
admin-c:        AR6363-RIPE
tech-c:         AR6363-RIPE
status:         ASSIGNED PA
mnt-by:         RAPIDSWITCH-MNT
source:         RIPE # Filtered

person:          Abuse Robot
address:         iomart Hosting Ltd t/a RapidSwitch
address:         Spectrum House
address:         Clivemont Road
address:         Maidenhead
address:         SL6 7FW
phone:           +44 (0)1753 471 040
remarks:         ******************************************************
remarks:         * ABUSE REPORTS                                      *
remarks:         * E-mail: abuse@rapidswitch.com                      *
remarks:         * https://myservers.rapidswitch.com/Abuse/ReportAbuse.aspx *
remarks:         * IMPORTANT: We are unable to accept abuse reports   *
remarks:         * any other way except the two methods listed above. *
remarks:         ******************************************************
nic-hdl:         AR6363-RIPE
mnt-by:          RAPIDSWITCH-MNT
source:          RIPE # Filtered

% Information related to '78.129.128.0/17AS20860'                                                                                                                                   
                                                                                                                                                                                    
route:           78.129.128.0/17                                                                                                                                                    
descr:           Iomart Hosting Ltd                                                                                                                                                 
origin:          AS20860                                                                                                                                                            
mnt-by:          GB10488-RIPE-MNT                                                                                                                                                   
mnt-by:          RAPIDSWITCH-MNT                                                                                                                                                    
source:          RIPE # Filtered                                                                                                                                                    
                                                                                                                                                                                    
% This query was served by the RIPE Database Query Service version 1.16 (WHOIS3)

Tu peux toujours formuler une plainte ici :
https://myservers.rapidswitch.com/Abuse/ReportAbuse.aspx

Les manières d'empêcher un inconnu de se connecter en ssh chez toi sont multiples  :

Ports et routage : ne pas rediriger le port ssh si tu es derrière un routeur ou une passerelle au niveau de ce routeur.

Ports et pare-feu : Tu peux aussi limiter au niveau de ssh (/etc/ssh/sshd_config) qui peut se connecter ou mettre en place un pare-feu (iptables, ufw...) qui limite quelles ips ont accès au serveur ssh.

Serveur : Si tu n'utilises pas ssh ni scp le plus simple c'est de désinstaller ton serveur ssh. Par exemple sous debian :

aptitude remove openssh-server

Utilisateurs autorisés : Tu peux aussi n'autoriser que les connexions ssh faites avec une clé ssh (et ainsi refuser les connexions faites par mot de passe). Tu peux aussi désactiver certains profils qui sont systématiquement attaqués (genre root).

Méthode d'authentification : Encore une fois ça se règle dans les paramètres de configuration de ssh. Si tu ne sais pas ce qu'est une authentification par clé :
http://prendreuncafe.com/blog/post/2005/08/29/262-installer-sa-cle-ssh-sur-un-serveur-distant

Bonne chance

DDOS sortante

1 réponse

Discussions similaires