Den SSH-Server absichern

Ein über das Internet erreichbarer SSH-Server ist ein ständiges Ziel automatisierter Angriffe. Die Standardeinstellungen lassen mehrere Türen offen, die Bots unermüdlich untersuchen.

Härten bedeutet, die serverseitige Konfiguration zu verschärfen, sodass Angreifer selbst dann nicht per Brute-Force eindringen können, wenn sie Ihren Server finden.

Das serverseitige SSH-Verhalten wird durch /etc/ssh/sshd_config gesteuert. Diese Datei unterscheidet sich von der Client-Konfiguration, die Sie zuvor eingerichtet haben (~/.ssh/config).

Bearbeiten Sie sie immer als root und erstellen Sie vor Änderungen eine Sicherungskopie.

Das root-Konto ist das Erste, das Angreifer ausprobieren. Wenn Sie die direkte Root-Anmeldung deaktivieren, müssen sie zusätzlich einen gültigen Benutzernamen erraten.

Setzen Sie PermitRootLogin auf no. Administratoren sollten sich als normale Benutzer anmelden und sudo verwenden.

Sobald die schlüsselbasierte Authentifizierung funktioniert, sollten Sie Passwörter vollständig deaktivieren. Dadurch werden Brute-Force-Angriffe vollständig verhindert — es gibt kein Passwort, das erraten werden kann.

Warnung: Vergewissern Sie sich vor der Anwendung dieser Einstellung, dass die Anmeldung per Schlüssel funktioniert, andernfalls könnten Sie sich aussperren.

Mit AllowUsers oder AllowGroups können Sie genau festlegen, welche Konten SSH verwenden dürfen. Allen nicht aufgeführten Konten wird der Zugriff selbst mit gültigen Schlüsseln verweigert.

Auf Servern mit mehreren Benutzern ist dies eine wirksame und einfach umzusetzende Kontrolle.

Das Verlegen von SSH weg von Port 22 erhöht die Sicherheit nicht wirklich, reduziert aber das Rauschen durch automatisierte Scanner in Ihren Protokollen erheblich.

Wählen Sie einen nicht standardmäßigen Port und denken Sie daran, ihn in Ihrer Firewall zu öffnen und Ihre Clients darüber zu informieren.

Mehrere Direktiven verkleinern den Zeitraum, den Angreifer zur Verfügung haben:

• MaxAuthTries — fehlgeschlagene Versuche vor dem Trennen der Verbindung
• LoginGraceTime — zulässige Sekunden für die Authentifizierung
• MaxSessions — gleichzeitige Sitzungen pro Verbindung

Überprüfen Sie nach der Bearbeitung die Syntax mit sshd -t, bevor Sie den Dienst neu starten — ein Tippfehler kann verhindern, dass der Dienst startet, und Sie aussperren.

Laden Sie den Dienst anschließend neu. Lassen Sie Ihre aktuelle Sitzung geöffnet und testen Sie eine neue Verbindung, bevor Sie sie schließen.

Fail2ban überwacht Ihre Authentifizierungsprotokolle und sperrt IPs vorübergehend, bei denen zu viele fehlgeschlagene Anmeldeversuche festgestellt wurden. Dadurch ergänzt es die Einstellungen von sshd um eine dynamische Firewall-Ebene.

Installieren Sie es und aktivieren Sie das SSH-Jail; die Standardeinstellungen sind für die meisten Server sinnvoll.

Bestätigen Sie, dass der Server nun die von Ihnen deaktivierten Möglichkeiten ablehnt. Versuchen Sie, sich mit ausführlicher Ausgabe zu verbinden, um zu sehen, welche Authentifizierungsmethoden der Server anbietet.

Ein abgesicherter Server sollte nur publickey anbieten und Passwort- sowie Root-Anmeldungen ablehnen.

Halten Sie Ihren SSH-Server dauerhaft sicher:

• Wenden Sie PasswordAuthentication no niemals an, bevor Sie die Anmeldung per Schlüssel getestet haben
• Lassen Sie eine Sitzung geöffnet, während Sie die Konfiguration ändern
• Führen Sie nach jeder Änderung sshd -t aus
• Kombinieren Sie die Absicherung von sshd mit einer Firewall und Fail2ban

Sie haben Ihren SSH-Server über /etc/ssh/sshd_config abgesichert:

• Root- und Passwortanmeldungen deaktiviert
• Benutzer mit AllowUsers auf eine Positivliste gesetzt
• MaxAuthTries und LoginGraceTime angepasst
• Fail2ban für dynamischen Brute-Force-Schutz hinzugefügt

Überprüfen Sie die Konfiguration mit sshd -t und testen Sie immer, bevor Sie Ihre Sitzung schließen.