Barrapunto

Despues de leer la noticia he echado un vistazo a los logs (en los ordenadores de casa suelo pasar de hacerlo), y efectivamente hay un huevo de intentos, aunque solo de unas pocas ip's:

grep illegal /var/log/sshd/* | gawk '{print $12}' | sort -n | uniq
24.39.103.80
195.31.203.164
202.5.145.22
220.130.153.124
220.65.52.101

Asi que lo que voy a hacer cuando tenga tiempo es montar un honeypot [umich.edu] y currarme algun script que permita login y haga chroot a algun sitio con archivos multimedia o algo por el estilo, para ver si es verdad lo de los espias, etc.

Si alguien pica, y el hilo sigue activo ya cometare que tal.

Por cierto, para protegerse, aparte de desactivar PermitRootLogin, viene bien echar un vistazo a MaxStartups y LoginGraceTime. Mas info en man sshd_config.

Version para debian de mirar los logs (etch)

cat /var/log/auth.log |grep Illegal | gawk '{print $10}' | sort -n | uniq|awk 'BEGIN{ FS=":"}; { print $4}'