Protection OpenSSH contre la force brute sous Windows

OpenSSH fournit l'accès distant et les transferts chiffrés via SSH, SFTP et SCP. Sous Windows, il permet d'administrer les machines et d'échanger des fichiers avec Windows, Linux et d'autres systèmes. Il est disponible comme composant Windows depuis Windows 10 build 1809 et Windows Server 2019.

Exposer SSH à Internet peut déclencher des essais automatisés en quelques secondes. Les serveurs sur le port 22 sont des cibles fréquentes. Des bots testent sans cesse des identifiants et remplissent les journaux. Le chiffrement protège la connexion, mais n'empêche pas de tenter de deviner un mot de passe.

Le journal Sécurité de Windows peut montrer l'ampleur de cette activité. Ici, le filtre ID 4625 renvoie 9 021 entrées. L'événement sélectionné identifie sshd.exe comme processus appelant :

Date and time        Source                               Event ID  Task Category  Keywords
2021-08-15 07:08:19  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:08:04  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:55  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure

Extraits du journal Sécurité de Windows : échecs de connexion répétés.

Log Name:      Security
Source:        Microsoft Windows security auditing
Event ID:      4625
Logged:        8/15/2021 7:07:55 AM
Task Category: Logon
Keywords:      Audit Failure

Account Name:  NOUSER

Failure Information:
  Failure Reason: Unknown user name or bad password.
  Status:         0xC000006D
  Sub Status:     0xC0000064

Process Information:
  Caller Process ID:   0xec0
  Caller Process Name: C:\Windows\System32\OpenSSH\sshd.exe

Champs de l'événement 4625 : échec de connexion initié par sshd.exe.

Des échecs répétés avec de nombreux identifiants sont typiques d'essais automatisés. Un échec isolé peut venir d'une faute de frappe. RdpGuard surveille le journal OpenSSH Operational et bloque temporairement l'IP source au seuil configuré, arrêtant ses tentatives pendant le blocage et réduisant le trafic d'authentification répétitif.

Pour Windows et Windows Server 64 bits. Versions de Windows prises en charge.

Protection OpenSSH contre la force brute sous Windows

Voir aussi