SSH/Telnet攻击的解决办法

阿国运维网技术分享平台：桌面运维、网络运维、系统运维、服务器运维(及云服务器)，精品软件分享、阿国网络、尽在北京运维网

攻击简介

设备对于上送CPU的SSH/Telnet协议报文存在限速，未经授权用户攻击或者过多用户同时通过SSH/Telnet方式登录设备，可能会导致设备脱管。建议通过使用白名单控制可登录管理设备的用户，防止设备被仿冒攻击和非法访问的安全风险。

现象描述

正常用户无法登录设备。

定位思考

定位手段	命令行	适用版本形态
查看CPU-Defend丢包计数	display cpu-defend statistics packet-type ssh all display cpu-defend statistics packet-type telnet all	V100R006C05版本以及之后版本

执行display cpu-defend statistics packet-type ssh all命令查看CPU-Defend计数里面是否存在SSH协议报文CPCAR丢包，并且是否存在继续增长的趋势。

执行display cpu-defend statistics packet-type telnet all命令查看CPU-Defend计数里面是否存在Telnet协议报文CPCAR丢包，并且是否存在继续增长的趋势。

原因分析

未授权用户攻击，导致SSH/Telnet方式无法登录设备。

操作步骤

识别攻击源。
V100R006C05版本需要使用镜像获取报文，然后通过报文解析工具，比如wireshark解析获取到的报文。V100R006C05之后版本可以使用capture-packet cpu命令获取上送CPU的SSH/Telnet报文。以使用capture-packet cpu命令获取上送CPU的SSH/Telnet报文为例，识别出攻击源报文的源IP为172.22.189.62，目的IP为172.22.189.61，查看是否固定的源IP存在很多报文上送。下述回显中的ac 16 bd 3e代表的是源IP，转换为点分十进制的IP地址即为172.22.189.62。ac 16 bd 3d代表的是目的IP，转换为点分十进制的IP地址即为172.22.189.61。

2.识别出攻击源后，通过部署安全策略限制用户登录，配置举例如下：

在V200R011C10SPC600以及之后的版本，可以通过telnet server acl 3334或者stelnet server acl 3334来做SSH/Telnet报文的过滤，在ACL中rule满足规格前提下(SSH跟Telnet的白名单用户的硬件规格之和为8，如果超过8条，则还是通过软件过滤非法用户)，可以硬件过滤掉不在acl 3334中的用户SSH或者Telnet报文。