Ataki SSH wyczerpują 4 GB w ciągu 10 godzin. Możliwy?

Ostrzeżono mnie, że mój serwer przekroczył limit transferu. Sądzę, że mój węzeł Tor stał się popularny, więc postanowiłem go wyłączyć w tym miesiącu (nie jest to najlepszy wybór dla społeczności, ale muszę zejść na dół). Potem zauważyłem, że serwer przesłał tej nocy około 4 GB. Sprawdziłem dzienniki Apache za pomocą Awstats, nie ma istotnego ruchu (i nie prowadzę tam tak popularnych witryn). Sprawdziłem dzienniki poczty, nikt nie próbował wysłać śmieci. Sprawdziłem messagesdzienniki i znalazłem ich mnóstwo

Apr 29 10:17:53 marcus sshd[9281]: Did not receive identification string from 85.170.189.156
Apr 29 10:18:07 marcus sshd[9283]: Did not receive identification string from 86.208.123.132
Apr 29 10:18:24 marcus sshd[9298]: Did not receive identification string from 85.170.189.156
Apr 29 10:18:39 marcus sshd[9303]: Did not receive identification string from 86.208.123.132
Apr 29 10:18:56 marcus sshd[9306]: Did not receive identification string from 85.170.189.156
Apr 29 10:19:11 marcus sshd[9309]: Did not receive identification string from 86.208.123.132
Apr 29 10:19:18 marcus sshd[9312]: Did not receive identification string from 101.98.178.92
Apr 29 10:19:27 marcus sshd[9314]: Did not receive identification string from 85.170.189.156
Apr 29 10:19:41 marcus sshd[9317]: Did not receive identification string from 86.208.123.132
Apr 29 10:20:01 marcus sshd[9321]: Did not receive identification string from 85.170.189.156
Apr 29 10:20:13 marcus sshd[9324]: Did not receive identification string from 86.208.123.132
Apr 29 10:20:32 marcus sshd[9327]: Did not receive identification string from 85.170.189.156
Apr 29 10:20:48 marcus sshd[9331]: Did not receive identification string from 86.208.123.132
Apr 29 10:21:07 marcus sshd[9336]: Did not receive identification string from 85.170.189.156
Apr 29 10:21:20 marcus sshd[9338]: Did not receive identification string from 86.208.123.132
Apr 29 10:21:35 marcus sshd[9341]: Did not receive identification string from 85.170.189.156
Apr 29 10:21:51 marcus sshd[9344]: Did not receive identification string from 86.208.123.132
Apr 29 10:22:06 marcus sshd[9349]: Did not receive identification string from 85.170.189.156
Apr 29 10:22:23 marcus sshd[9353]: Did not receive identification string from 86.208.123.132
Apr 29 10:22:39 marcus sshd[9359]: Did not receive identification string from 85.170.189.156
Apr 29 10:22:54 marcus sshd[9361]: Did not receive identification string from 86.208.123.132
Apr 29 10:23:10 marcus sshd[9367]: Did not receive identification string from 85.170.189.156
Apr 29 10:23:29 marcus sshd[9369]: Did not receive identification string from 86.208.123.132
Apr 29 10:23:45 marcus sshd[9375]: Did not receive identification string from 85.170.189.156
Apr 29 10:24:10 marcus sshd[9387]: Did not receive identification string from 86.208.123.132
Apr 29 10:24:16 marcus sshd[9388]: Did not receive identification string from 85.170.189.156

Co kilka sekund bot próbuje włamać się do mojego SSH, co jest niemożliwe, ponieważ wymagam uwierzytelnienia za pomocą klucza publicznego. Moje pytanie brzmi: czy ten ruch na tej częstotliwości może zużywać 4 GB (powiedzmy 3,5) w ciągu 10 godzin ciągłego ataku?

Zmieniłem port SSH i powstrzymałem te ataki, ale nie jestem pewien, czy mam zużycie sieci. Nie mam żadnych usług, które mogą wymknąć się spod kontroli - moja zapora sieciowa jest dość restrykcyjna - lub udostępniam serwer komuś, kto niewłaściwie robi P2P lub cokolwiek innego. Moim problemem jest, aby zejść poniżej 400 GB / miesiąc.

Jakieś wskazówki?

4 GB jest możliwe, ale bardzo mało prawdopodobne, biorąc pod uwagę szybkość ataku. Sugeruję instalację OSSEC, wykrywa włamania i automatycznie blokuje adres IP na określony czas.

Jeśli są one przyczyną wykorzystania przepustowości, oznacza to, że przepustowość jest już zużyta do czasu rozwiązania problemu w systemie. Możesz użyć narzędzia takiego jak iptraf, aby przedstawić podział tego, co dzieje się na każdym interfejsie / porcie, a następnie możesz podjąć odpowiednie działania w oparciu o fakty.

Nie, same próby połączenia raz na sekundę nie zwiększą do 4 GB w ciągu dziesięciu godzin. Czy uważasz, że możesz pobrać plik 4 GB w ciągu 10 godzin, otrzymując mały pakiet raz na sekundę? Na godzinę jest 3600 sekund, więc jeśli otrzymasz dziesięć kilobajtów na sekundę przez dziesięć godzin, będzie to 36000 Kb, czyli 36 megabajtów.

Twoje pasmo jest mierzone zgodnie z tym, co idzie rurą od twojego dostawcy do zewnętrznego routera, a nie tym, co dociera do twojego serwera. Musisz spojrzeć na bzdury, które nie docierają do twojego serwera, które większość zewnętrznych urządzeń odrzuca.

Jeśli chodzi o to, co dociera do twojego serwera, nie możesz polegać na dziennikach aplikacji. Nawet pakiety, które są dyskretnie upuszczane przez lokalną zaporę, mają przepustowość. Statystyki interfejsu (pokazane przez ifconfig) pokażą bajty Tx / Rx.