Ataques SSH, puerto 22, a través del router

De nuevo, Theliel , muchas gracias.

Aprender y ampliar el conocimiento, para mi es toda una experiencia satisfactoria.

Si crees que puede ser interesante para tener mas datos la próxima vez, si me puedes contar, por el hilo o por privado, como visualizar las tablas IPtables, me gustaria.

Por mi parte, no creo que podamos, sacar mas, pero creo que parto de una vision mas amplia para una próxima vez, si es que esta se da.

He ampliado la supervisión de ataques a otro servidor, para ver si por un casual, también sufre ataques, pero como tiene cerrado el puerto no informa.

Si vuelven los ataques, me pondré en contacto contigo, si no tienes inconveniente, para en caliente, intentar ir acotando el problema.

Ha sido un placer recibir tu apoyo.

Un saludo.

PD: Técnico-Movistar, puedes dar el hilo por satisfactoriamente contestado / respondido.

Gracias, Theliel , por tu interés.

>Un fallo en la firmware podría (en caso de que existiese repito) dejar el puerto abierto pese >estar deshabilitada la regla. Este escenario es potencialmente posible, y es sencillo de ver, >basta con acceder por detrás al Router y ver si las reglas siguen presente o no en iptables. >Obviamente si pese estar deshabilitadas las reglas siguen añadidas, es un fallo en la >firmware, no hay más.

No se como consultar la iptables que cita, pero puesto a curiosear, en el interface del router, en:

Configuracion avanzada -> Advanced setup -> NAT -> NAT -- Virtual Servers Setup

presenta algo que parece un resumen de las reglas de redirección, en el que las reglas desactivadas no aparecen. Aparecen todas las demas. Supongo que esto puede ser algún tipo de presentación de las IPtables que Vd. cita. Como nota, y respaldando su punto de vista, ninguna de las reglas supervivientes hace referencia al servidor atacado.

>Otra cosa totalmente diferente es que efectivamente el mapeo esté deshabilitado y las >reglas eliminadas. Si la regla está eliminada cualquier equipo está de facto protegido por >NAT. Existen técnicas para intentar (o lograr) saltarse la protección de un Firewall, por >supuesto, pero recuerda que estás detrás de un dispositivo NAT, aun cuando se saltasen el >Firewall del Router, no podrían alcanzar al equipo interno, no sabrían como llegar a él, para >eso se requiere una redirección por fuerza, con lo que si asumimos que la redirección está >deshabilitada, no hay camino para llegar al equipo.

Cierto, pero el hecho es que estan llegando.

Despertada ya la curiosidad, por su exposición, he seguido curioseando y en

Configuracion avanzada -> Advanced setup -> Security -> Ip Filtering,

hay una tabla, con una leyenda:

---------

By default, all incoming/outgoing IP traffic is droped/passed, but some IP traffic can be BLOCKED/ACCEPTED by setting up filters.

---------

En la que aparecen referencia al puerto 22, pero también sin destino.

No se que es, pero si tengo que apostar, lo haría por que está relacionada con el mantenimiento remoto por parte de Movistar.

-----------------------------------------------------

De los últimos dos escenarios que cita, el primero de ellos, lo veo improbable, porque desde ese servidor, nunca se accede, via web, al exterior. Sus servicios son, en un 99,9 % internos a la red local.

Respecto al último escenario, iniciar la llamada desde el interior, habría que considerar dos

aspectos.

El primero es que es un servidor de ficheros, y solo usa software del fabricante frecuentemente actualizado. No hay nada ajeno. Muy atrás en el tiempo quedó la necesidad de acceso remoto, que fué via VPN. Ahora rara vez accedo a él salvo, que mensajes de mantenimiento me lleven a echar una ojeada de supervisión.

El segundo punto, es que aceptando que se facilitase una sesión desde dentro, en principio no encuentro razón para que los ataques viniesen de un rango tan amplio de distintas IPs concentradas en el tiempo, y no desapareceria el problema por el hecho de cambiar la IP externa, o al menos no habría tanta separación temporal entre rachas de ataques, ¿Creo?.

¿Cesarían los ataques en caso de reinicializar el servidor?, Lo probaré la próxima vez.

En fin, esto es un brainstorming por mi parte. Ya le digo que solo soy un curioso (tenaz :-))sobre el tema de la seguridad.

Lo único que creo tener claro, en este momento, es que para penetrar se tiene que necesitar algo mas que un simple SSH al puerto, porque sino aparecerían reflejados muchos mas intentos y mas dispersos en el tiempo.

De nuevo, muchas gracias.

Theliel 

Hola de nuevo Theliel ,

Permiteme compartir un brainstorm sobre el problema.

Como bien dices, la red está llena de ruido, de gente realizando scaners de puertos.

Por esta razón, el problema, no puede ser que simplemente,  un comando telnet o ssh, pase a través del router, porque en ese caso habría cientos de miles de intentos de conexión constantemente, así que lo que sea tiene que ser bastante mas elaborado y complejo.

Durante la ventana de ataque le pedí ha un amigo que hiciese un intento de conxión, via telnet y SSH, para comprobar si atravesaba el router, y no tuvo contestación, y a mi no me apareció en el log. No profundicé mas.

Un saludo.

Theliel, Técnico-Movistar 

Perdona @Theliel, pero no ha habia llegado (o no la habia visto) la notificación de tu respuesta, y hasta que me ha llegado la del técnico, no he sido consciente.

Veo que debe tener un conocimiento profundo de los routers de Movistar.

El problema, como he expuesto, desde mi punto de vista, es que parece que estan llegando intentos de conexión al puerto 22, cuando esta redireccion está deshabilitada en la configuración de puertos en el router, y queria que los técnicos comprobasen que asi es.

Supongo que lo habrán hecho y comprobado que la redirección está deshabilitada.

Algo han debido hacer porque como le dije, mi log refleja que cambió la IP externa [yo no fui 🙂 ].  Pedi a los técnicos, via mensaje privado, que me contasen que habían hecho, pero no me han contestado. También, como le dije, los intentos de conexión habian cesado de motu propio (no se la razón) como unas ocho horas antes de esa actuación.

Yo ya tengo comprobado de otras veces (no es la primera vez que me pasa, ni la segunda), que si cambia la IP, cesan los intentos.

Como he indicado, también antes, en el hilo, actualmente no tengo necesidad de mantener la redirección en las tablas del router, si ao mantengo es simplemente para ver si hay intentos de penetración (que como dice Vd. es parte de ruido de internet) exitosos, que parece que los hay de vez en cuando, e indicar un posible fallo de seguridad.

Parece que este interés en la seguridad no parece compartido por nadie salvo por Vd, al menos nadie me ha pedido información adicional, ni me ha informado de pruebas que se hayan realizado o medidas que se estén tomando.

Yo he pensado en instalar un sniffer en el servidor, por ampliar la informacion facilitada, pero no he sido capaz de encontrar una versión para el mismo.

Se que todo el tema de seguridad es muy reservado y restringido, pero no tengo otra vía de informar de la situación.

Le agradezco su oferta de comprobar mi router. La próxima vez que me aparezcan los ataques, me pondré en contacto, via mensaje privado, para que pueda realizar las pruebas que considere oportunas, no obstante, por aquello de la ingeniería social, me gustaria que los administradores de foro avalasen su colaboración. Disculpe la desconfianza, pero parece que va inevitablemente asociada al ambito de la seguridad.

Antes de que se me olvide, la configuración del puerto y su desabilitación (no borrado), se realizó via acceso red interna en el menú que ofrece el router ( no soy capaz de distinguir entre reducida o completa, o mi router no la ofrece).

Un saludo y muchas gracias.