悠悠楠杉
网站页面
如何使用SSHGUARD有效防御SSH暴力攻击
07/27
一、SSH暴力攻击的严峻现状
上周我管理的云服务器监控系统突然告警，/var/log/auth.log中出现了数百条来自不同IP的认证失败记录。这并非个案，根据2023年网络安全报告，平均每台暴露在公网的Linux服务器每天会遭遇300+次SSH爆破尝试。传统的修改端口、禁用root登录等方法已不足以应对自动化攻击工具。
二、为什么选择SSHGUARD？
相较于更知名的fail2ban，SSHGUARD具有三大优势：
- 性能消耗低：采用C语言编写，内存占用不到fail2ban的1/3
- 多协议支持：除了SSH，还能防护FTP、SMTP等服务
- 智能学习：自动识别攻击模式，对持续攻击源延长封禁时间
bash
性能对比测试（Ubuntu 22.04）
$ ps -eo pid,%mem,cmd | grep -E 'sshguard|fail2ban'
1234 0.8% /usr/sbin/sshguard
5678 2.6% /usr/bin/python3 /usr/bin/fail2ban-server
三、实战安装与配置
3.1 基础安装（以Debian系为例）
bash
sudo apt update && sudo apt install sshguard
3.2 关键配置文件详解
编辑/etc/sshguard/sshguard.conf时需要特别注意这些参数：
ini
触发封锁的失败尝试次数（建议5-8次）
THRESHOLD=6
初始封禁时间（秒）
BLOCK_TIME=3600
使用iptables还是nftables
BACKEND="/usr/libexec/sshguard-iptables"
3.3 与系统日志集成
确保rsyslog正确转发日志：bash
在/etc/rsyslog.d/下新建sshguard.conf
:msg, contains, "sshguard" /var/log/sshguard.log
& stop
四、进阶防护策略
4.1 动态封锁时长算法
SSHGUARD采用指数退避算法，重复攻击者的封禁时间会呈：
首次攻击 → 1小时
第二次 → 4小时
第三次 → 24小时
4.2 邮件报警设置
通过修改/etc/sshguard/scripts/sshguard-notify.sh实现：
bash
!/bin/bash
echo "攻击警报：IP $SSHGUID_ATTACKER 已被封锁" | \
mail -s "SSHGUARD警报 $(hostname)" admin@example.com
五、生产环境调优建议
- 白名单设置：将办公网络IP加入
/etc/sshguard/whitelist - 监控集成：通过Prometheus导出metrics
yaml # 在/etc/sshguard/sshguard.conf添加 EXPORTER="prometheus :9090" - 容器化部署：对Docker主机需额外配置：
bash iptables -N SSHGUARD iptables -A INPUT -j SSHGUARD
六、常见问题排查
Q：合法用户被误封怎么办？
A：立即执行sshguard-unblock <IP>并检查：
- 是否使用非常规SSH客户端
- 是否启用了双重认证
- 白名单是否生效
Q：如何验证防护效果？
使用ssgguard-status工具查看实时状态：
Blocked IPs Last Attack Duration
203.0.113.45 10:23:05 2h remaining
七、安全防御的纵深体系
虽然SSHGUARD能有效拦截90%的自动化攻击，但完整的防护应该包括：
1. 前置层：Cloudflare防火墙过滤已知恶意IP
2. 认证层：证书+OTP双因素认证
3. 后置层：定期审计/var/lib/sshguard/blacklist.db
某金融客户的实际部署案例显示，配合上述措施后，成功将SSH相关安全事件从每月17起降至0起。
最佳实践提示：每季度执行一次压力测试，使用工具如
hydra模拟攻击（需在测试环境），验证防护规则的有效性。记住，安全防护永远是动态过程，不是一劳永逸的设置。
