sshd log plein de "Did not receive identification string from "

Il pourrait également s'agir d'une tentative d'exploitation d'un dépassement de tampon bien connu.

C'est documenté dans le filtre /etc/fail2ban/filter.d/sshd-ddos.conf que vous pouvez activer pour vous protéger de ces tentatives de piratage :

Fail2Ban ssh filter for at attempted exploit
The regex here also relates to a exploit:
http://www.securityfocus.com/bid/17958/exploit
The example code here shows the pushing of the exploit straight after
reading the server version. This is where the client version string normally
pushed. As such the server will read this unparsible information as
"Did not receive identification string".

La chaîne cible de cet exploit est (devinez quoi ?) "N'a pas reçu de chaîne d'identification de ...".

Vous pouvez distinguer les connexions légitimes provenant du réseau de votre fournisseur à des fins de surveillance, de toute autre source non autorisée, en vérifiant simplement la portée réseau de l'adresse IP distante.

Il est possible de donner des instructions au filtre fail2ban (par le biais de la directive 'ignoreregex') afin d'ignorer les tentatives légitimes en conséquence.

Dans mon cas, cela a été causé par le bilan de santé de mon équilibreur de charge élastique (ELB). En effet, je souhaite que l'équilibreur de charge s'assure que sssd est exécuté sur mon hôte, donc ce message était attendu dans mon cas d'utilisation. Pour mon cas d'utilisation spécifique, l'utilisation de AWS FireLens j'ai pu filtrer ces messages en utilisant la fonction exclude-patterns de l'objet de configuration.

Cette question a été notée au-dessus de dans un commentaire, mais je l'ai manqué les premières fois que j'ai lu cet article, donc je voulais le poster comme une réponse séparée, de haut niveau.

Dans mon cas, ces entrées de journal étaient produites toutes les 5 minutes à cause d'un scan régulier du service par samhain - même si j'utilisais un port personnalisé (autre que 22) pour le serveur SSH. Désactiver la détection de nouveaux services devrait vous éviter ces entrées de journal ennuyeuses (mais peut aussi affaiblir la protection de votre IDS).

Si vous vous demandez qui scanne les ports ou essaie de s'authentifier sur votre machine, il suffit de vérifier :

# whois 211.110.33.50

# KOREAN(UTF8)

 IPv4    ,    .

[    ]
IPv4           : 211.110.0.0 - 211.110.239.255 (/17+/18+/19+/20)

etc.