уже несколько недель ко мне на сервер стучится робот(которому я, предположительно, дал о себе знать зайдя на бесплатный прокси-сервер)

до вчерашнего дня это выражалось в ~150 попытках за сутки зайти на сервер через ssh используя логины и пароли по словарю
а теперь эта цифра возросла на порядок

в целом, защищенность меня устраивает(файрволл с разрешение коннекта только по ssh, sshd доступен только root, и хороший 13-значный пароль на root), но хотелось-бы предпринять какие-то действия в ответ

может быть кому-нибудь можно уведомить, с каких адресов меня атакуют или послать e-mail админам этих компов

что делать?

Хм. Какой сервер у тебя? Апач например в логах всё хранит. Да и у ssh должен быть access log.

лог есть
и в нем видно кто ломился как и когда

я хотел спросить, есть ли смысл кого-нить уведомлять, и если есть, как это лучше сделать?

Для начала, нужно сообщить об этом своему провайдеру. Он у себя фаервол поправит, дабы к тебе меньше трафика сыпалось. Также он может связаться с провайдером, которому принадлежит атакующася подсеть. Можешь и сам с ним связаться. Обычно достаточно быстро прикрываются такие штуки.

вот список адресов



я здесь не вижу какой либо системы
также как и не вижу целесообразности перекрывать эти адреса на файрволе прова,
, так, как они слишком уж отличаются и, вполне вероятно этот список будет расширяться и далее

или я не прав?

может это вообще червь?

Это сообщение отредактировал(а) list - 11.10.2006, 17:47

Всего скорее. Но, после того как я в такой же ситуации написал письма всем провайдерам, нападок значительно поубавилось, а позже, они и вовсе исчезли. Каждый пров, при поступлении жалоб (а если их ещё и несколько будет, да ещё от крупных клиентов) проведет среди соответствующих клиентов разъяснительную работу.

подскажи, пожалуйста, как вичислить этих самых провайдеров?

Не говроите глупости. БОльшиснтву пофиг на такие вещи, а ловить зомбированные машины в своей автономной системе из 2-5 тысяч хостов тем более никто давно не заморачивается.

Добавлено @ 18:07 
Настроить SSH, увеличить время тайм-аута, ограничить количество одновременных неавторизованных коннектов + поставить утилиты типа sshit, fail2ban и т.п.
Также от большой лени можно перенсти ssh-демон на нестандартный порт

Имеется большое количество провайдеров разного уровня. Те, что поменьше и поближе к юзерам - те заморачиваются.

а смысл? если при коннекте sshd отвечает "SSH-1.99-OpenSSH_3.6.1p2" идентифицируя себя этим
скан портов и всё станет на свои места



поскажи, как выйти на этих самых, что поближе

Например, заюзать SmatWhois отсюда.

Имеются либо просто провайдеры, которые предоставляют транспорт достаточно большому кол-ву хостов, либо пионер-нет, где после такого "закрытия" через некоторое время проблем необерешься ожидая "открытия" 
Я бы при поступлении подобной просьбы просто вежливо бы развернул к выходу - у меня сервера под нагрузкой, state-full фаерволлы выверены и вылизанны, чтоб задержки были минмальными. И тут здрасте: начинается впихивание совершенно левых правил.


Ради интереса, посмотри внимательно как сканируют и за какое время. Попробуй ради интереса просканировать достаточно большой диапазон . Подсказка: задача минимальными силами отбросить попытки робота. В конце концов, если развивается паранойя, то нужно посмотреть в сторону известных IDS. Тот же snort можно накрутить достаточно сложными правилами.