SSH-атаки истощают 4 ГБ за 10 часов. Возможное?

Меня предупредили, что мой сервер нарушил лимит передачи. Я подумал, что мой узел Tor стал популярным, поэтому я решил отключить его в этом месяце (не лучший выбор для сообщества, но мне нужно отключиться). Затем я заметил, что сервер перенес около 4 ГБ этой ночью. Я проверил журналы Apache с Awstats, без соответствующего трафика (и я не размещаю там такие популярные сайты). Я проверил почтовые логи, никто не пытался отправлять мусор. Я проверил messagesжурналы и нашел тонны этих

Apr 29 10:17:53 marcus sshd[9281]: Did not receive identification string from 85.170.189.156
Apr 29 10:18:07 marcus sshd[9283]: Did not receive identification string from 86.208.123.132
Apr 29 10:18:24 marcus sshd[9298]: Did not receive identification string from 85.170.189.156
Apr 29 10:18:39 marcus sshd[9303]: Did not receive identification string from 86.208.123.132
Apr 29 10:18:56 marcus sshd[9306]: Did not receive identification string from 85.170.189.156
Apr 29 10:19:11 marcus sshd[9309]: Did not receive identification string from 86.208.123.132
Apr 29 10:19:18 marcus sshd[9312]: Did not receive identification string from 101.98.178.92
Apr 29 10:19:27 marcus sshd[9314]: Did not receive identification string from 85.170.189.156
Apr 29 10:19:41 marcus sshd[9317]: Did not receive identification string from 86.208.123.132
Apr 29 10:20:01 marcus sshd[9321]: Did not receive identification string from 85.170.189.156
Apr 29 10:20:13 marcus sshd[9324]: Did not receive identification string from 86.208.123.132
Apr 29 10:20:32 marcus sshd[9327]: Did not receive identification string from 85.170.189.156
Apr 29 10:20:48 marcus sshd[9331]: Did not receive identification string from 86.208.123.132
Apr 29 10:21:07 marcus sshd[9336]: Did not receive identification string from 85.170.189.156
Apr 29 10:21:20 marcus sshd[9338]: Did not receive identification string from 86.208.123.132
Apr 29 10:21:35 marcus sshd[9341]: Did not receive identification string from 85.170.189.156
Apr 29 10:21:51 marcus sshd[9344]: Did not receive identification string from 86.208.123.132
Apr 29 10:22:06 marcus sshd[9349]: Did not receive identification string from 85.170.189.156
Apr 29 10:22:23 marcus sshd[9353]: Did not receive identification string from 86.208.123.132
Apr 29 10:22:39 marcus sshd[9359]: Did not receive identification string from 85.170.189.156
Apr 29 10:22:54 marcus sshd[9361]: Did not receive identification string from 86.208.123.132
Apr 29 10:23:10 marcus sshd[9367]: Did not receive identification string from 85.170.189.156
Apr 29 10:23:29 marcus sshd[9369]: Did not receive identification string from 86.208.123.132
Apr 29 10:23:45 marcus sshd[9375]: Did not receive identification string from 85.170.189.156
Apr 29 10:24:10 marcus sshd[9387]: Did not receive identification string from 86.208.123.132
Apr 29 10:24:16 marcus sshd[9388]: Did not receive identification string from 85.170.189.156

Каждые несколько секунд бот пытается взломать мой SSH, что невозможно, потому что мне требуется проверка подлинности с помощью открытого ключа. Мой вопрос: может ли этот трафик на этой частоте потреблять 4 ГБ (скажем, 3,5) за 10 часов непрерывной атаки?

Я изменил свой SSH-порт и прекратил эти атаки, но я не уверен в потреблении своей сети. У меня нет неконтролируемых служб, работающих - мой брандмауэр является своего рода ограничением - или делюсь сервером с кем-то, кто использует P2P или что-то другое. Мое беспокойство должно пойти ниже 400 ГБ / месяц.

Какие-нибудь советы?

4 ГБ возможно, но очень маловероятно, учитывая скорость атаки. Я предлагаю установить OSSEC, он обнаруживает попытки взлома и автоматически блокирует IP на определенный промежуток времени.

Если они являются причиной использования пропускной способности, то пропускная способность уже используется к тому времени, когда вы работаете с ними в вашей системе. Вы можете использовать такой инструмент, как iptraf, чтобы дать вам представление о том, что происходит на каждом интерфейсе / порту, а затем вы можете предпринять соответствующие действия на основе фактов.

Нет, эти попытки подключения раз в секунду сами по себе не добавят 4 ГБ за десять часов. Как вы думаете, вы могли бы загрузить файл 4 ГБ за 10 часов, получая крошечный пакет раз в секунду? В часе 3600 секунд, поэтому если вы получите килобайт в секунду в течение десяти часов, это будет 36000 Кб или 36 мегабайт.

Ваша пропускная способность измеряется в зависимости от того, что идет по каналу от вашего провайдера к внешнему маршрутизатору, а не от того, что достигает вашего сервера. Вы должны посмотреть на дерьмо, которое не достигает вашего сервера, которое большинство внешних устройств отвергает.

Что касается того, что достигает вашего сервера, вы не можете полагаться на журналы приложений. Даже пакеты, которые молча отбрасываются локальным брандмауэром, имеют пропускную способность. Статистика интерфейса (показана ifconfig) покажет вам байты Tx / Rx.