Tietoturva nyt!

13.5.2008

Hajautettuja SSH-hyökkäyksiä havaittu tavallista enemmän

CERT-FI on havainnut viime päivinä tavallista enemmän viitteitä hyökkäyksistä, joissa palvelimiin pyritään kirjautumaan kokeilemalla SSH-käyttäjätunnuksia ja salasanoja.

Viime päivinä havaituille SSH-hyökkäyksille on ollut tunnusomaista, että kirjautumisyritykset tapahtuvat hajautetusti useista eri IP-osoitteista. Sama ilmiö on havaittu kansainvälisesti. Useissa tapauksissa kirjautumisyrityksiä tekevät hyökkääjät käyttävät hajautuksesta huolimatta yhteistä jaettua käyttäjätunnuslistaa kohdetta vastaan. Yksittäinen IP-osoite tekee kirjautumisyrityksiä yhteen kohteeseen vain muutaman kerran ja hyökkäyksissä käytetyn käyttäjätunnuslistan peräkkäisiä tunnuksia kokeillaan eri IP-osoitteista. Tällä pyritään peittämään hyökkäys tunkeutumisten esto- ja havainnointijärjestelmiltä. Toimiva keino edellä kuvatuilta hyökkäyksiltä suojautumiseen on riittävän vahvojen salasanojen vaatiminen SSH-käyttäjiltä. Myös SSH-kirjautumisen estäminen root-käyttäjältä on tarpeellinen tietoturvatoimenpide. Kirjautumisyritysten seurantaan ja estämiseen on myös olemassa lukuisia työkaluja.

Lisätietoa

• http://isc.sans.org/diary.html?storyid=4408

Sivua päivitetty 13.05.2008

Tulostusversio