ایمیل امنیتی root

[novin]

با سلام خدمت دوستان و مدیران وب هاستینگ تالک
من یک سرور اختصاصی دارم و خیلی زمان ها به سرور بنده حمله میشه من شنیده ام اگر کسی پسورد root من رو مثال هک کرد و وارد سرور اختصاصی من شد در WHM یک قسمت است که اگر تنظیم کنی یک ایمیل به من فرستاده میشه و آی پی فردی که وارد ROOT سرور من شده فرستاده میشود تا من باخبر شوم و زود جلوگیری کنم لطفا به من بگویید در کدام قسمت باید این تنظیم ایمیل را در WHM انجام دهم با تشکر

[Online24]

WHM رو نمیدونم ! ولی با Shell script به صورت مطمئن تر میتونید این کار رو انجام بدید .

برای مثال این چند خط اسکریپت رو به فایل bashrc. اضافه کنید . ( این فایل بلافاصله پس از لاگین کردن کاربر در لینوکس اجرا خواهد شد و یکی از فایل های پیش فرض و لازم لینوکس هست ، فقط این چند خط را بخ آخر اون اضافه کنید )

echo 'ALERT - Root Shell Access (YourserverName) on:' `date` `who` | mail -s "Alert: Root Access from `who | cut -d'(' -f2 | cut -d')' -f1`" you@yourdomain.com

به این صورت بلافاصله پس از لاگین شدن هرکس ، ایمیل اخطار برای شما ارسال خواهد شد .

[novin]

ممنون ازراهنمایی شما من زیاد به WHM وارد نیستم از چه طریق به bashrc. دسترسی داشته باشم ( راهنمایی دقیق)

[Online24]

با کاربر root به صورت ssh به سرور متصل بشید .

دستور cd رو بزنید تا در home directory خودتون قرار بگیرید .

با یک ویرایش گر فایل bashrc. رو ویرایش کنید . برای مثال :

nano .bashrc

* تغییرات را انجام بدید و در آخر با زدن ctrl + x فایل رو save کنید

* ممکنه ویرایشگر nano به صورت پیش فرض در سیستم شما نصب نشده باشه .

میتونید از ویرایش گر vi هم استفاده کنید

cd

vi .bashrc

i بزنید تا در insertmode قرار بگیرید ، ویرایش را انجام بدید ، escape بزنید ، : را بزنید ، wq را وارد کنید و Enter برنید تا save and exit بشه .

[vPsPersia.COM]

CSF with LFD را خدا آفرید

---------- Post added at 10:55 AM ---------- Previous post was at 10:55 AM ----------

و یا

APF with BFD

[Online24]

ابزارهایی مثل LFD و BFD فقط حملات یا غیرعادی بودن حین Login کردن رو گزارش میکنند .
در صورتی که ممکنه هکر محترم اصل password رو بدست آورده باشه و مانند یک کاربر عادی و بدون مشکل login کنه .
در این صورت این دو ابزار هیچ گزارشی ارسال نمیکنند . و همینطور از درست کار کردن این ابزارها هیچ تضمینی موجود نیست !
( تضمینی هست که این ابزارها دقیقا موقعی که حمله واقعی در جریان باشه failed نشده باشند ؟ )

البته حق با شماست و این دو ابزار برای این کار بسیار مفید و شناخته شده هستند . ( فقط برای جلوگیری و اعلام حملات از نوع Brute force )
نوشتن یک خط shell script راه بسیار آسان و کارا برای آگاهی از تمامی login ها به سیستم هست .

[vPsPersia.COM]

این 2 ابزاری که من گفتم رو سال ها تست کردم ، یعنی بیشتر از 3 یا 4 سال .

بیشتر روی CSF و LFD کار کردم . باید بگم که root breaker داره ( اسطلاح خودشان ) یعنی هر زمانی که کسی به ROOT یا WHM لاگین شود ایمیل میزنه

ندیدم از کار بی افته ، خیلی هم سریع کمتر از 5 ثانیه ایمیل میزنه .

البته صحیح هست که یک خط اسکریپت بهینه تر هست ولی امکاناتی که این برنامه ها دارند و شایان ذکر هست .

[Online24]

بیشتر روی CSF و LFD کار کردم . باید بگم که root breaker داره ( اسطلاح خودشان ) یعنی هر زمانی که کسی به ROOT یا WHM لاگین شود ایمیل میزنه

کاملا حق باشماست ولی همینکه فرمودید " root breaker " دارند ، منظور اینه که فقط حملات به پسورد و تلاش برای ورود غیر مجاز رو گزارش میکنند
( که بسیار مفید هم هستند )

فقط دوستانی که از این میترسند که به هر روش پسورد اونها به دست هکر بیوفته و در آخر هکر بدون تلاش ناموفق و مستقیما ( به صورت عادی ) به سیستم وارد بشه ! در این صورت این دو ابزار تشخیص میدند که ورود مجاز بوده و اخطاری ارسال نمیکند !

ولی اگر از همون shell script استفاده کنند ، هر ورود به سیستمی ( مجاز / غیر مجاز / شکستن سیستم ) به اطلاعشون میرسه و میتونند ورود غیر مجاز رو خودشون تشخیص بدند .

امکانات این دو برنامه که نام بردید (LFD & BFD)در تشخیص جلوگیری از حملات ورود غیر مجاز هم بسیار عالیست .

[vPsPersia.COM]

تلاش برای ورود غیر مجاز رو گزارش میکنند

منظور شما از این چی هست ؟ یعنی کسی که پورت ssh رو داره و تلاش به پسورد های مختلف می کنه ؟


تا اونجا که من یادم هست ، هر وقتی که خودم با whm و یا ssh میروم ایمیل میاد که این ip و .. وارد شد !

[secure_host]

با سلام
چنین امکانی درLFD وجود به عنوان مثال :

lfd on server1.secure-servers.org: SSH login alert for user root from 95.38.xxx.xxx (IR/Iran (Islamic Republic of)/-)

این هم متن ایمیل :

Time: Thu Sep 30 01:47:42 2010 -0500
IP: 95.38.xxx.xxx (IR/Iran (Islamic Republic of)/-)
Account: root
Method: password authentication