君衍.
一、本篇介绍
本文目的： 由于本人测试环境在公网上搭建完成，因此收到了很多关于SSH默认22端口的暴力破解攻击。记录关于SSH默认端口的防御思路及维护，比如：更改SSH默认端口、对SSH产生的日志文件进行审计、使用iptables或者别的防火墙比如ufw对爆破IP进行封禁、安装Fail2ban来实现对SSH端口登录策略防护、甚至更改默认端口后，使用蜜罐来伪造22端口迷惑部分技术不成熟的黑客。
上图可以看到，92.118.39.14对SSH端口进行了持续爆破，所以，在公网环境下，还是有必要对SSH端口进行防御。
登录方式为密码登录，不想使用密钥登录的话，可以采取以下措施进行SSH端口防护，当然依旧存在安全风险；建议是直接使用密钥登录，安全风险更低。
二、Fail2ban
1、简介
Fail2Ban 是一款入侵防御软件，旨在保护计算机系统免受恶意攻击和暴力破解。它通过监视系统日志文件，检测到多次失败的登录尝试、恶意行为或其他不寻常活动，然后采取预先配置的措施来应对这些威胁，比如暂时封禁攻击者的 IP 地址。它是用 Python 编程语言编写的。Fail2Ban 基于auth 日志文件工作，默认情况下它会扫描所有 auth 日志文件，如 /var/log/auth.log等，并禁止带有恶意标志的IP，比如密码失败太多，寻找漏洞等等标志。
通常，Fail2Ban 用于更新防火墙规则，用于在指定的时间内拒绝 IP 地址。 它也会发送邮件通知。Fail2Ban 为各种服务提供了许多过滤器，如ssh、apache、nginx、squid、named、mysql、nagios等。Fail2Ban 能够降低错误认证尝试的速度，但是它不能消除弱认证带来的风险。
2、工作方式
- 监视日志文件：Fail2ban 会监视指定的日志文件，例如 SSH、HTTP、FTP 等服务的日志文件。
- 匹配规则：Fail2ban 会根据用户定义的规则（也称为“过滤器”）对日志文件进行匹配。规则通常基于正则表达式，以识别恶意行为，例如登录失败尝试、恶意请求等。
- 触发响应：当匹配到规则时，Fail2ban 会触发定义的响应操作，例如将攻击者的 IP 地址添加到防火墙规则中以阻止其访问，或向管理员发送电子邮件报警。
- 自动解封：Fail2ban 还提供了自动解封功能，可以在一段时间后自动解封被阻止的 IP 地址，以避免误阻止合法用户。
3、优缺点
优点：
- 自动化阻止恶意行为，减轻管理员的工作负担。
- 可以根据用户定义的规则进行灵活配置。
- 支持自动解封功能，避免误阻止合法用户。
- 可以与其他安全工具（例如防火墙）集成使用，提高安全性。
缺点：
- 对于一些高级的攻击行为可能无法有效防御。
- 在某些情况下可能会误阻止合法用户，例如当多个用户共享同一 IP 地址时。
- 需要一定的配置和管理工作，以保证其有效性和安全性。
4、工作原理
可以通过监控日志文件（例如 /var/log/auth.log）来帮助保护服务器免受暴力攻击。该软件可以检测到多次登录系统的失败尝试，然后在一定时间内自动禁止违规 IP 地址。Fail2ban 可以执行各种操作，包括更新 Iptable 防火墙规则、将 IP 地址添加到 TCP Wrapper 的 hosts.deny表、发送电子邮件通知以及执行任何用户定义的操作。
5、目录结构
/etc/fail2ban/
├── action.d # 各种动作，默认自带很多常用的
│ ├── dummy.conf
│ ├── hostsdeny.conf
│ ├── iptables.conf
│ ├── mail-whois.conf
│ ├── mail.conf
│ ├── shorewall.conf
│ └── xxxxx.conf
│ .......
├── fail2ban.conf # 默认缺省配置
├── fail2ban.d # 启动目录
├── filter.d # 各种过滤器，默认自带很多常用的
│ ├── apache-auth.conf
│ ├── apache-noscript.conf
│ ├── couriersmtp.conf
│ ├── postfix.conf
│ ├── proftpd.conf
│ ├── qmail.conf
│ ├── sasl.conf
│ ├── sshd.conf
│ └── xxxxx.conf
│ .......
├── jail.conf # 默认监视配置
└─ jail.d
└── defaults-debian.conf ## SSH 相关配置
6、功能特点
- 监视日志文件：Fail2Ban 主要通过监视系统的日志文件来检测潜在的安全问题。它可以监视 SSH、FTP、SMTP 等服务的日志文件，并分析其中的登录尝试、错误信息等。
- 基于规则的匹配：Fail2Ban 使用基于正则表达式的规则来匹配日志文件中的事件。通过配置适当的规则，可以识别恶意行为，如暴力破解密码、拒绝服务攻击等。
- 自动封禁：一旦 Fail2Ban 检测到恶意行为，例如多次失败的登录尝试，它会自动封禁攻击者的 IP 地址。封禁可以是暂时的，也可以是永久的，具体取决于配置。
- 灵活的配置：Fail2Ban 的配置非常灵活，可以根据特定的需求和威胁模式进行定制。用户可以配置规则、封禁时长、白名单等参数，以适应不同的环境和安全策略。
- 日志和报告：Fail2Ban 提供了详细的日志和报告，记录了检测到的事件、封禁的 IP 地址以及采取的措施。这些日志和报告对于审计和调查安全事件非常有用。
三、更改默认SSH端口
1、更改配置文件
需要更改SSH端口，我们需要先找到SSH的配置文件，默认在/etc/ssh/sshd_config
vim /etc/ssh/sshd_config
修改为：
这里将注释符去掉，将端口改为5454，这里我随便写的端口，然后退出保存。
2、重启服务
CentOS重启SSH命令：
systemctl retsart sshd
Ubuntu重启SSH命令：
service ssh restart
重启之后，即可更改成功，可以使用netstat -ntlp查看下。
四、SSH日志审计
SSH的日志在/var/log/auth.log路径下，同时我们需要分析字段，然后构建查询语句来查看访问排行成功与失败的IP地址。
Jul 8 14:39:12 hcss-ecs-3adb sshd[66409]: Invalid user gxf from 92.118.39.14 port 33068
Jul 8 14:39:12 hcss-ecs-3adb sshd[66409]: pam_unix(sshd:auth): check pass; user unknown
Jul 8 14:39:12 hcss-ecs-3adb sshd[66409]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=92.118.39.14
Jul 8 14:39:13 hcss-ecs-3adb sshd[66411]: Invalid user mm_pf from 92.118.39.14 port 34842
Jul 8 14:39:13 hcss-ecs-3adb sshd[66415]: Accepted password for root from 111.18.40.254 port 32709 ssh2
Jul 8 14:39:13 hcss-ecs-3adb sshd[66415]: pam_unix(sshd:session): session opened for user root(uid=0) by (uid=0)
Jul 8 14:39:13 hcss-ecs-3adb systemd-logind[589]: New session 1031 of user root.
Jul 8 14:39:13 hcss-ecs-3adb sshd[66411]: pam_unix(sshd:auth): check pass; user unknown
Jul 8 14:39:13 hcss-ecs-3adb sshd[66411]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=92.118.39.14
Jul 8 14:39:13 hcss-ecs-3adb sshd[66413]: Invalid user userzhhp from 92.118.39.14 port 35502
Jul 8 14:39:14 hcss-ecs-3adb sshd[66417]: Invalid user afl from 92.118.39.14 port 35580
Jul 8 14:39:14 hcss-ecs-3adb sshd[66413]: pam_unix(sshd:auth): check pass; user unknown
Jul 8 14:39:14 hcss-ecs-3adb sshd[66413]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=92.118.39.14
Jul 8 14:39:14 hcss-ecs-3adb sshd[66417]: pam_unix(sshd:auth): check pass; user unknown
Jul 8 14:39:14 hcss-ecs-3adb sshd[66417]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=92.118.39.14
Jul 8 14:39:15 hcss-ecs-3adb sshd[66409]: Failed password for invalid user gxf from 92.118.39.14 port 33068 ssh2
Jul 8 14:39:15 hcss-ecs-3adb sshd[66411]: Failed password for invalid user mm_pf from 92.118.39.14 port 34842 ssh2
Jul 8 14:39:16 hcss-ecs-3adb sshd[66411]: Connection closed by invalid user mm_pf 92.118.39.14 port 34842 [preauth]
Jul 8 14:39:16 hcss-ecs-3adb sshd[66413]: Failed password for invalid user userzhhp from 92.118.39.14 port 35502 ssh2
Jul 8 14:39:16 hcss-ecs-3adb sshd[66417]: Failed password for invalid user afl from 92.118.39.14 port 35580 ssh2
1、连接失败的IP
查询语句：
grep "Failed password for invalid user" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq
解释：
- 1、使用 grep 过滤日志条目：首先，使用 grep 过滤出所有尝试连接 SSH 端口并失败的日志条目。
grep "Failed password for invalid user" /var/log/auth.log
- 2、提取 IP 地址：然后，从这些日志条目中提取出 IP 地址。
grep "Failed password for invalid user" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq
awk '{print $(NF-3)}'：这部分命令使用 awk 提取出每条日志中倒数第 4 列，即 IP 地址。
sort | uniq：对提取出的 IP 地址进行排序并去重，以确保每个地址只显示一次。
2、失败IP次数排行
查询语句：
grep "Failed password for invalid user" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr
grep "Failed password for invalid user" /var/log/auth.log：筛选出包含"Failed password for invalid user"的日志条目，即所有登录尝试失败的记录。awk '{print $(NF-3)}'：使用 awk 提取出每行日志中的倒数第 4 列，即 IP 地址。sort | uniq -c：首先使用 sort 对提取出的 IP 地址进行排序，然后使用 uniq -c 统计每个 IP 地址出现的次数。sort -nr：最后一步使用 sort -nr 对统计出的次数进行逆序排序（从高到低），这样输出中出现次数最多的 IP 地址将排在最前面。
3、连接成功的IP
查询语句：
grep "Accepted password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq
解释：
- 1、使用 grep 过滤日志条目：首先，使用 grep 过滤出所有成功连接 SSH 端口的日志条目。
grep "Accepted password" /var/log/auth.log
- 2、提取 IP 地址：然后，从这些日志条目中提取出 IP 地址。
grep "Accepted password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq
awk '{print $(NF-3)}'：这部分命令使用 awk 提取出每条日志中倒数第 4 列，即 IP 地址。
sort | uniq：对提取出的 IP 地址进行排序并去重，以确保每个地址只显示一次。
4、成功IP次数排行
查询语句：
grep "Accepted password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr
当然，其他查询语句还需自行结合日志字段进行编辑。
五、Fail2ban
1、安装
CentOS/RedHat安装方式：
- 1、安装apel源：
yum install -y epel-release
- 2、安装Fail2ban
yum install -y fail2ban
- 3、启动Fail2ban服务
systemctl start fail2ban
- 4、开机自启动
systemctl enable fail2ban
- 5、查看Fail2ban服务状态
systemctl status fail2ban
Ubuntu/Debian安装方式：
- 1、安装 Fail2ban
sudo apt-get install fail2ban
- 2、Debian 12 及以上的版本需要手动安装 rsyslog
sudo apt-get install rsyslog
- 3、启动 Fail2ban 服务
sudo systemctl start fail2ban
- 4、开机自启动
sudo systemctl enable fail2ban
- 5、查看 Fail2ban 服务状态。
sudo systemctl status fail2ban
2、配置
（如果嫌自己配置麻烦，可以往下滑看与1panel进行联动，图形化配置，只需要上面安装成功就可。）
jail.conf 是主配置文件，包含所有可用选项。它包含 HTTP、SSH、FTP、Webmail、WebApplications 等服务的配置文件。
一般不建议直接更改 jail.conf 文件。可以拷贝一个新的 jail.local 文件来管理 SSH 的安全，这样可以轻松跟踪 jail，并最大限度地减少错误配置的机会。
这里简单解读下jail.conf配置文件：
......
[DEFAULT ]
bantime = 10m ## 禁止时长，默认10分钟
findtime = 10m ## 执行操作的窗口时长，默认10分钟
maxretry =5 ## 最大尝试次数
backend = auto ## 指定用于获取文件修改的后端
usedns = warn
logencoding = auto
enabled = false ## jails 默认关闭，在自定义的 .local 中打开需要用到的项
mode = normal ## 过滤器类型
filter = %( name )s [mode=%(mode)s ] ## 定义过滤器
destemail =root@localhost ## 通知将被发送到的电子邮件地址
sender = root@ ## 发件人姓名
mta =sendmail ## 邮件传输代理（默认是 sendmail，可以改成 mail）
protocol = tcp
chain = <known/chain>
port = 0:65535
fail2ban_agent = Fail2Ban/%(fail2ban_version)s
banaction = iptables-multiport ## 动作的捷径，用于定义动作参数
banaction_allports = iptables-allports
action_abuseipdb =abuseipdb
......
action = %(action_)s
所以这里我们先创建一个jail.local文件来存储我们自己编写的规则。
touch jail.local
这里可以自定义SSH防护规则，编辑jail.local文件，路径默认在/etc/fail2ban下进行查找：
接着编辑jail.local文件，复制粘贴如下，之后进行解读：
#DEFAULT-START
[DEFAULT]
bantime = 600
findtime = 300
maxretry = 5
banaction = ufw
action = %(action_mwl)s
#DEFAULT-END
[sshd]
ignoreip = 127.0.0.1/8
enabled = true
filter = sshd
port = 22
maxretry = 3
findtime = 300
bantime = 60m
banaction = ufw
action = %(action_mwl)s
logpath = /var/log/auth.log
各个参数介绍：
bantime：主机被禁止的秒数。findtime：如果主机在“findtime”期间生成了“maxretry”，则会被禁止。maxretry：主机被禁止之前的失败次数。ignoreip：fail2ban 将忽略的 IP 地址，白名单地址。port：服务名称或端口。logpath：fail2ban 检查的日志文件路径。
更改完之后需要重启服务即可生效，可以使用如下命令操作：
systemctl restart fail2ban.service
最后我们查看jail2ban服务状态：
systemctl status fail2ban.service
3、日志查看
默认日志路径在/var/log/fail2ban.log
这里我展示下别人爆破我所产生的日志：
可以看到这里由于该IP地址疯狂爆破已经被禁了，同时，之后再进行ssh，已经连接不上了。
同时，我们也可以使用命令来查看被封禁的IP地址以及jail详细信息：
fail2ban-client status sshd
4、命令补充
1、解除IP封禁：
fail2ban-client set sshd unbanip xxx.xxx.xxx.xxx
2、查看fail2ban版本号：
fail2ban-server -V
3、清除所有被禁的IP地址：
fail2ban-client unban --all
4、重启配置：
fail2ban-client reload
5、与1panel联动配置
1Panel 是一个现代化、开源的 Linux 服务器运维管理面板。（之后我们会详细介绍，同时与其他产品进行联动，发挥其防护效果以及优势）
官方网站： https://1panel.cn/docs/installation/online_installation/
使用这个配置方式只需要安装好fail2ban就行，然后安装1panel运维管理面板：
环境要求：
安装前请确保您的系统符合安装条件：
- 操作系统：支持主流 Linux 发行版本（基于 Debian / RedHat，包括国产操作系统）；
- 服务器架构：x86_64、aarch64、armv7l、ppc64le、s390x；
- 内存要求：建议可用内存在 1GB 以上；
- 浏览器要求：请使用 Chrome、FireFox、IE10+、Edge等现代浏览器；
- 可访问互联网。
# 一键安装命令：
# CentOS：
curl -sSL https://resource.fit2cloud.com/1panel/package/quick_start.sh -o quick_start.sh && sh quick_start.sh
# Ubuntu:
curl -sSL https://resource.fit2cloud.com/1panel/package/quick_start.sh -o quick_start.sh && sudo bash quick_start.sh
使用这个工具需要用到容器，从容器中拉去镜像，不过容器使用以上命令没有安装也会自行安装。
安装好之后，使用IP加端口加安全入口的形式访问，安全入口之后可以改变。
访问之后，界面类似上图
这里如果安装了fail2ban会检测到，然后直接在界面中图形化配置，尝试登录次数以及封禁时间等信息，比较方便。
同时，我们也可以通过日志审计模块，登录日志看到所有成功失败登录的可视化日志：
这里简单扩展下，该1panel的管理Web界面我们同时也需要对其进行防护，我这里使用雷池WAF对管理的端口进行了反代，使流量先过雷池WAF检测，然后到1panel管理界面，防止有恶意攻击入侵。
六、蜜罐伪造22端口
当然，这里也可以伪造22端口蜜罐，从而造成22端口为SSH端口的假象，迷惑一些技术不成熟的黑客，或者一些脚本探测，从而观察其攻击方式以及payload。从我在公网环境下测试可以看到，SSH蜜罐还是挺受欢迎的。
该蜜罐为HFish开源社区型蜜罐，官网手册： https://hfish.net/#/README
感兴趣的可以自行安装测试，做好资产梳理，端口规划，同时对硬件配置与WAF，1panel联动可能需要一定的硬件配置。
以上是个人对于SSH端口的防御方案，希望可以帮助到各位。