Brute Force gegen das Kontrollpanel

Jedes Panel unter einer öffentlichen Adresse wird ununterbrochen von Maschinen durchprobiert, die Listen von Benutzernamen und geleakten Passwörtern abarbeiten. Die Menge ist kein Zeichen dafür, dass Sie gezielt angegriffen werden. Zum Einbruch wird es in dem Moment, in dem ein Konto ein Passwort trägt, das auf einer dieser Listen steht.

Sehen, was passiert

sudo grep -c "Failed password" /var/log/auth.log
sudo awk '/Failed password/ {print $(NF-3)}' /var/log/auth.log | sort | uniq -c | sort -rn | head

Die vier, die es beenden

• Zwei-Faktor auf jedem Admin-Konto. Ein richtiges Passwort allein genügt dann nicht mehr - siehe Zwei-Faktor am Panel.
• Ratenbegrenzung, damit eine Maschine eine Handvoll Versuche pro Minute bekommt statt Tausender - siehe einen Login-Endpunkt begrenzen.
• Fail2ban, um die Adresse nach wenigen Fehlversuchen zu sperren - siehe was Fail2ban aufhält.
• Keine geteilten Konten. Eine Person, ein Zugang - dann ist ein Entzug ein Entzug.

admin umbenennen, aber sich nicht darauf verlassen

Den naheliegenden Benutzernamen zu ändern nimmt das meiste automatische Rauschen weg, denn die Listen sind kurz bei den Namen und lang bei den Passwörtern. Ein Schutz ist es nicht: Der Name lässt sich meist aus der Website selbst herausfinden.

Einschränken, von wo das Panel überhaupt antwortet

# nginx: the panel only answers to the office
location /admin/ {
    allow 203.0.113.0/24;
    deny all;
}