ssh-bruteforce

SSH 暴力破解的识别与防护

现象

auth.log/journal 出现大量 Failed password、Invalid user，SSH 连接数和 CPU 升高，甚至出现成功登录的异常记录。

快速定位

journalctl -u sshd --since '1 hour ago' | grep -E 'Failed|Invalid'
tail -f /var/log/auth.log
lastb | head
fail2ban-client status sshd
ss -tnp | grep ':22'
grep 'Accepted' /var/log/auth.log | tail

常见根因

1. SSH 暴露公网，未限制来源。
2. 允许密码登录，用户密码弱。
3. 未启用 fail2ban/防火墙限流。
4. 密钥泄露或用户账号被盗。
5. 容器/跳板机的 SSH 端口映射过宽。

修复

• 优先密钥登录，关闭 PasswordAuthentication 和 root 直接登录。
• 用安全组/防火墙限制来源 IP，只暴露必要网段。
• 启用 fail2ban 或 sshd 自带限流，设置白名单避免自锁。
• 检查 authorized_keys 和登录日志，移除未知公钥。
• 对成功登录的异常 IP 立即排查主机是否失陷。
• 需要公网入口时加跳板机、MFA 和登录告警。

相关命令

• sshd — 服务端配置
• fail2ban — 自动封禁
• journalctl — 日志
• lastb — 失败登录记录