Запретить SSH рекламировать свой номер версии

Я использую Ubuntu 10.10. Для обеспечения безопасности я хочу отредактировать баннер, который сервер отправляет клиенту.

Если я подключусь к своему хосту через порт 22, он сообщит мне точную версию SSH, которую я использую (SSH-2.0-OpenSSH_5.3p1 Debian-3ubuntu4). С MySQL и Cyrus такая же ситуация.

Какие-либо предложения? По крайней мере, для SSH?

Благодарность

Почти повсеместно идентифицирующие баннеры являются частью скомпилированного кода и не имеют опций конфигурации для их изменения или подавления. Вам придется перекомпилировать эти части программного обеспечения.

Хотя скрыть номер версии вашего демона SSH очень сложно, вы можете легко скрыть версию linux (Debian-3ubuntu4)

Добавьте следующую строку в /etc/ssh/sshd_config

DebianBanner no

И перезапустите ваш демон SSH: /etc/init.d/ssh restartилиservice ssh restart

Сокрытие этих не защитит ваш сервер. Есть еще много способов определить, какая система работает. В частности, для SSH объявление версии является частью протокола и является обязательным.

http://www.snailbook.com/faq/version-string.auto.html

Я уверен, что вы не можете изменить объявление о версии.

Лучшие способы защитить sshd:

1. Измените номер порта по умолчанию.
2. Запретить вход в систему root.
3. Принудительный протокол 2 (при условии, что это не сделано по умолчанию).
4. Белый список серверов, которым разрешен SSH.

Первые три можно сделать, изменив / etc / sshd_config

Четвертый зависит от того, какое программное обеспечение брандмауэра вы используете.

Как сказано выше, изменение номера версии

1. Трудно сделать
2. Безопасность через неизвестность
3. Не гибкий

То, что я предлагаю, это реализация Port Knocking. Это довольно простой способ скрыть все, что работает на вашем сервере.

Вот хорошая реализация: http://www.zeroflux.org/projects/knock

Вот как я реализовал это на своих серверах (другие номера), чтобы открыть SSH только людям, которые знают «секретный стук»:

[openSSH]
    sequence = 300,4000,32
    seq_timeout = 5
    command = /opencloseport.sh %IP% 2305
    tcpflags = syn

Это даст 5-секундное окно, в котором 3 SYN-пакета должны быть получены в правильном порядке. Выберите порты, которые расположены далеко друг от друга и не являются последовательными. Таким образом, сканер портов не может открыть порт случайно. Эти порты не нужно открывать с помощью iptables.

Вот сценарий, который я называю. Он открывает определенный порт на 5 секунд для IP, отправляющего SYN-пакеты.

#!/bin/bash
/sbin/iptables -I INPUT -s $1 -p tcp --dport $2  -j ACCEPT
sleep 5
/sbin/iptables -D INPUT -s $1 -p tcp --dport $2  -j ACCEPT

Отправка SYN-пакетов может быть очень болезненной, поэтому я использую скрипт для подключения к SSH моих серверов:

#!/bin/bash
knock $1 $2
knock $1 $3
knock $1 $4
ssh $5@$1 -p $6

(Совершенно очевидно, что здесь происходит ...)

После того, как соединение установлено, порт можно закрыть. Подсказка: используйте ключ-аутентификацию. В противном случае вам нужно очень быстро вводить пароль.