OpenSSH-Schutzeinstellungen für Windows

Der OpenSSH-Schutz von RdpGuard überwacht fehlgeschlagene SSH-Anmeldungen unter Windows und sperrt Quell-IP-Adressen vorübergehend, sobald die konfigurierte Erkennungsgrenze erreicht ist. Führen Sie RdpGuard auf dem Windows-Computer mit OpenSSH Server aus und aktivieren Sie den Schutz wie unten beschrieben.

1. Starten Sie RdpGuard-Dashboard als Administrator. Klicken Sie unter Überwachte Protokolle, klicken Sie auf OpenSSH , während der Status Deaktiviert.

   

2. Warten Sie, während RdpGuard die Einstellung speichert und den Dienst automatisch neu startet. Der OpenSSH-Status wechselt zu Aktiviert. Diese Schaltfläche schaltet den Schutz direkt um. Ein erneuter Klick deaktiviert ihn.

Um die Grenze fehlgeschlagener Anmeldungen oder die Sperrdauer anzupassen, öffnen Sie Extras, Optionen, Allgemein. Außerdem können Sie vertrauenswürdige IP-Adressen in die Whitelist aufnehmen und Benachrichtigungen beim Sperren einer Adresse konfigurieren.

OpenSSH protokolliert Authentifizierungsmeldungen unter Ereignisanzeige, Anwendungs- und Dienstprotokolle, OpenSSH, Operational. Dieses Protokoll verwendet der OpenSSH-Schutz von RdpGuard.

Typische Meldungen sind Failed password und Invalid user:

sshd: Failed password for invalid user test2 from 120.224.50.233 port 57821 ssh2
Invalid user admin from 203.0.113.25 port 51957

• Stellen Sie sicher, dass OpenSSH Server installiert ist und läuft und das Protokoll OpenSSH, Operational vorhanden und aktiviert ist. Falls OpenSSH nach der Aktivierung des RdpGuard-Schutzes installiert wurde, starten Sie den RdpGuard-Dienst neu, damit er das neue Protokoll überwachen kann.
• Suchen Sie nach neuen Einträgen mit Ereignis-ID 4 und den oben gezeigten Meldungen zu falschem Passwort oder ungültigem Benutzer. RdpGuard liest neue Ereignisse aus OpenSSH/Operational. Das Vorhandensein von Sicherheitsereignis 4625 allein bestätigt die Erkennung dieses Moduls nicht.
• Falls OpenSSH ausschließlich in Dateien protokolliert, überprüfen Sie SyslogFacility in %ProgramData%\ssh\sshd_config. LOCAL0 schreibt Protokolle in Dateien, die dieses Modul nicht liest. Der Standardwert AUTH verwendet die Windows-Ereignisprotokollierung. Starten Sie OpenSSH Server nach einer Konfigurationsänderung neu; siehe Microsofts Dokumentation zur OpenSSH-Protokollierung.
• Wenn eine Adresse erkannt, aber nicht gesperrt wird, prüfen Sie die konfigurierte Grenze und die Whitelist. Öffnen Sie für Überwachungsfehler Ansicht, Ereignisprotokoll anzeigen im RdpGuard-Dashboard.

Der aktuelle OpenSSH-Ereignisparser erkennt IPv4-Adressen in den oben genannten Meldungen. Standardmäßig verlieren gesperrte Adressen den Zugriff auf alle Serverports. Falls Sie Sperrung ausgewählter Ports aktiviert haben, schließen Sie den SSH-Port ein - standardmäßig 22 oder den von Ihnen gewählten Port.