Остановите брутфорс SSH на ваших Linux-серверах

Да. Агент SSH Protector читает журнал аутентификации собственной операционной системы и пишет правила nftables, фильтрующие входящий трафик к защищаемым портам на этом же хосте. Агент не открывает слушающих сокетов, не имеет канала удалённых команд и инициирует только исходящий HTTPS. Ничто в агенте не может действовать против другой машины.

Fail2ban разбирает журнал аутентификации, считает неудачи внутри findtime и программирует межсетевой экран на срок bantime - по одному адресу за раз и только на этом хосте. SSH Protector сопоставляет источник с анонсируемым префиксом и банит всю /24 одной записью набора nftables, сохраняет набор через перезагрузки вместо истечения по таймеру, читает systemd-journald через нативный API вместо сопоставления текстовых строк регулярным выражением и делится полученной репутацией со всеми остальными защищёнными хостами. Таблица выше ставит оба поведения по умолчанию рядом, а /guides/fail2ban-limitations разбирает различия целиком.

По умолчанию SSH Protector программирует nftables, используя именованный набор, чтобы множество забаненных префиксов стояло за одним поиском по правилу в input-хуке netfilter. На хостах, где ядро или дистрибутив всё ещё работают по легаси-пути, агент откатывается на iptables с ipset, что даёт то же поведение на уровне пакетов. Агент определяет используемый бэкенд, а не предполагает его, и никогда не сбрасывает правила, которые создал не он.

Агент - один статически слинкованный исполняемый файл с резидентным набором менее 10 МБ и потреблением CPU, близким к нулю между событиями аутентификации, потому что попакетная работа происходит в ядре, а не в агенте. Накладные расходы на разбор журнала ограничены чтением systemd-journald через нативный API вместо построчного хвоста и регулярных выражений по /var/log/auth.log.

Да. Каждое решение о бане вычисляется на защищаемом хосте по его собственному журналу аутентификации, поэтому защита от брутфорса SSH продолжает работать по последней применённой политике, пока панель недоступна. Связь нужна только общей репутации, и её отсутствие снижает покрытие, а не останавливает локальную защиту.

Программа eBPF, подключённая на XDP, отбрасывает пакеты в сетевом драйвере - это правильный ответ на объёмный флуд. Но программа XDP не может прочитать /var/log/auth.log, не наблюдает результата PAM и не отличает неверный пароль от верного, поэтому решение о том, какой префикс отбрасывать, по-прежнему приходит из анализа журналов в пространстве пользователя. Трафик брутфорса SSH - это низкая пакетная скорость при высокой ценности попытки аутентификации, и input-хук netfilter отбрасывает его задолго до того, как пакетная скорость станет ограничением.

Агент читает действующий порт из sshd_config, его drop-in файлов под /etc/ssh/sshd_config.d/ и слушающих сокетов хоста, после чего перестраивает свои правила nftables при смене порта. Порт FTP-демона определяется так же, поэтому нестандартный порт обнаруживается, а не настраивается.

Нет. Установщик добавляет в белый список адрес, с которого выполнялась установка, ещё до фиксации первого правила, а источники из белого списка проверяются раньше любого блокирующего пути. Постоянная защита от блокировки дополнительно банит атакующий префикс до достижения порога deny у pam_faillock в /etc/pam.d/sshd, поэтому брутфорс не может заблокировать и настоящую учётную запись.

Любой systemd-дистрибутив на x86-64 или ARM64: Debian, Ubuntu, RHEL, CentOS, AlmaLinux, Rocky Linux, Fedora и Alpine с systemd. Агент поставляется одним статически слинкованным бинарником, поэтому на защищаемом хосте не нужно разрешать ни интерпретатор, ни рантайм Python, ни пакетные зависимости.

Международные платежи проводит PayPro Global как merchant of record, платежи внутри России - ЮKassa, криптовалюта доступна как запасной вариант. Тариф Free постоянный, покрывает один сервер с полной защитой от брутфорса и не требует карты.

С SSH Protector я устанавливаю агент как systemd-службу: он локально читает журнал аутентификации, определяет фактический порт sshd и после порога за окно времени блокирует сеть источника в системном фаерволе. Я заранее добавляю свой адрес или VPN в whitelist, контролирую историю в панели и сохраняю последнюю политику при потере интернета.

Бесплатно без SSH Protector я отключаю PasswordAuthentication и PermitRootLogin, оставляю ключи Ed25519, ограничиваю AllowUsers/AllowGroups и разрешаю порт только из VPN или доверенных CIDR. Если пароль временно обязателен, я настраиваю fail2ban по journald/auth.log, проверяю nftables/iptables, задаю findtime, maxretry и bantime и регулярно тестирую исключения с резервной консоли.

С SSH Protector я блокирую источник по реальным неудачным входам независимо от того, какое имя он перебирает, и могу распространить запрет на сеть атакующего. Я проверяю найденный порт SSH, добавляю административный VPN в whitelist и использую локальное решение агента, чтобы защита не зависела от доступности панели.

Бесплатно я запрещаю парольный и root-вход, создаю отдельного пользователя с sudo, загружаю уникальный ключ через cloud-init и закрываю Security Group до VPN/своих сетей. Я удаляю неиспользуемые authorized_keys, включаю MFA на bastion, настраиваю fail2ban и алерты по Accepted password/publickey для неизвестных источников; смену порта считаю только уменьшением шума.

С SSH Protector я ставлю статический агент, который читает локальные события и блокирует источник в фаерволе до компрометации учётной записи. Я использую бесплатную защиту первого сервера, включаю whitelist для своего канала и проверяю, что агент продолжает работать офлайн; резервное копирование и least privilege оставляю отдельными слоями.

Бесплатно я закрываю SSH за WireGuard/Tailscale, отключаю пароли и root, требую ключ с passphrase и ограничиваю sudo. Я храню резервные копии вне VPS с отдельными credentials, включаю автоматические security updates, fail2ban и аудит успешных входов; аварийную консоль провайдера проверяю до ужесточения фаервола.

С SSH Protector я использую поддерживаемый статический бинарник для подходящей архитектуры и systemd, включаю локальный анализ журнала и firewall-блокировку без входящего управляющего порта. Я проверяю совместимость ОС и фаервола до установки, задаю whitelist управления и слежу, чтобы агент не вытеснял ограниченные ресурсы устройства.

Бесплатно я вообще не публикую SSH наружу: подключаю устройство через VPN, запрещаю пароль и root, разрешаю один ключ и одну управляющую подсеть. Я обновляю прошивку, отключаю неиспользуемые службы, ставлю минимальный fail2ban только если хватает памяти и сохраняю конфигурацию фаервола; для неподдерживаемой ОС выбираю внешний шлюз, а не неизвестный бинарник.

С SSH Protector я включаю чтение поддерживаемых журналов SSH и FTP, позволяю агенту определить порты и применяю единое локальное правило к сети источника. Я добавляю доверенные интеграции в whitelist, проверяю историю в панели и учитываю, что расширенная защита FTP и дополнительные функции могут зависеть от тарифа.

Бесплатно я заменяю обычный FTP на SFTP поверх SSH или FTPS, если протокол действительно нужен, и закрываю сервис от всего интернета. Я создаю отдельные jail fail2ban для sshd и FTP, направляю их в одну nftables set с timeout, проверяю формат журналов после обновлений и запрещаю общие учётные записи.

С SSH Protector я оставляю автоматическую сетевую блокировку на всех внешних источниках и вношу в whitelist только контролируемый VPN, а не каждый домашний IP. Я использую панель для атак, но идентичность сохраняю в отдельных Unix-аккаунтах и ключах: агент защищает периметр, а отзыв доступа выполняю удалением конкретного ключа.

Бесплатно я веду authorized_keys централизованно через Ansible, выдаю по одному ключу на человека и устройство с понятным comment, запрещаю общий аккаунт и ограничиваю sudo. Я включаю VPN/MFA на bastion, задаю срок доступа в inventory, собираю Accepted publickey с fingerprint в SIEM и автоматически удаляю ключ по окончании договора.

С SSH Protector я отделяю доверенные адреса runner через точный whitelist, а все остальные источники оставляю под блокировкой по неудачным входам. Я не считаю это заменой контроля ключа: агент сокращает перебор снаружи, пока ограничения самого служебного аккаунта сдерживают последствия успешной аутентификации.

Бесплатно я использую отдельный Ed25519-ключ на job, храню его в secret store, ограничиваю в authorized_keys через from=, command=, no-port-forwarding, no-agent-forwarding и no-pty. Я разрешаю SSH только из сети runner, выдаю минимальные sudo-команды, регулярно ротирую ключ и фиксирую fingerprint в журнале деплоя.

С SSH Protector я сначала ставлю дополнительный защитный слой и whitelist текущего административного адреса, пока выполняю миграцию. Агент блокирует активный перебор, автоматически учитывает фактический порт и оставляет политику офлайн, но после успешной проверки ключей я всё равно отключаю парольный вход.

Бесплатно я открываю вторую SSH-сессию и консоль провайдера, добавляю уникальный ключ, проверяю права ~/.ssh 700 и authorized_keys 600, запускаю sshd -t и reload, не закрывая первую сессию. Затем ставлю PasswordAuthentication no, KbdInteractiveAuthentication no и PermitRootLogin no, проверяю новый вход и сохраняю аварийный ключ отдельно.

С SSH Protector я немедленно блокирую активные источники и сети, сверяю историю атак и оставляю доступ только через доверенный whitelist. Затем я меняю пароль/ключ, завершаю сеансы и отдельно анализирую Accepted password/publickey; блокировка уменьшает окно атаки, но не доказывает отсутствие уже успешного входа.

Бесплатно я временно закрываю SSH Security Group или nftables до VPN, блокирую пользователя, отзываю ключи и меняю связанные секреты. Я проверяю last/lastlog, journalctl, sudo, новые users/keys, cron/systemd units, процессы и сетевые соединения, затем восстанавливаю доступ только по ключам и запрещаю повторно используемые пароли.

С SSH Protector я продолжаю блокировать внешний перебор и вижу подозрительные источники, но не полагаюсь на него против корректного украденного ключа. Я немедленно удаляю fingerprint со всех серверов, выдаю новый ключ с passphrase и оставляю whitelist только для VPN; успешные входы расследую отдельно.

Бесплатно я ищу старый публичный ключ по всем authorized_keys, отзываю его конфигурационным управлением и проверяю Accepted publickey по fingerprint и источнику. Я выдаю аппаратный FIDO2/ed25519-sk или ключ с passphrase и ssh-agent timeout, запрещаю agent forwarding без необходимости и храню реестр владельца, устройства и даты ротации.

С SSH Protector я прикладываю историю атак и блокировок, параметры политики, список защищаемых сервисов и утверждённые исключения. Я документирую локальное решение агента, исходящий TLS-канал и отсутствие входящего управляющего порта, затем выполняю контролируемые неверные входы и сохраняю строки журнала, правило фаервола и уведомление.

Бесплатно я экспортирую sshd_config, nftables/ufw, fail2ban jail и журнал изменений из Git, а auth.log/journald отправляю в защищённое хранилище. Я ежемесячно проверяю PasswordAuthentication, PermitRootLogin, MFA/VPN и отзыв тестового ключа, подписываю результат и храню evidence за требуемый период.

С SSH Protector я блокирую источник в фаерволе после серии отказов, поэтому следующие TCP-соединения не доходят до sshd и не создают столько записей. Я сохраняю системный аудит, отдельно контролирую размер/retention journald и использую историю атак в панели как индекс, а не как замену исходному журналу.

Бесплатно я закрываю SSH до VPN/allowlist, отключаю пароли и стандартные логины, а fail2ban направляю в nftables set с timeout. Я настраиваю SystemMaxUse и ротацию journald/rsyslog, отправляю Accepted и ключевые Failed-события на внешний syslog и не уменьшаю LogLevel ниже значения, нужного для расследования.

С SSH Protector я задаю порог и окно один раз, после чего агент локально создаёт и снимает блокировки, а whitelist имеет приоритет. Я использую бан сети там, где атакующий ротирует соседние адреса, проверяю изменения в панели и сохраняю резервную консоль перед первой политикой.

Бесплатно я заменяю отдельные вечные iptables rules на nftables set с timeout или fail2ban action, задаю maxretry/findtime/bantime и ignoreip для VPN. Я тестирую фильтр на реальных строках журнала, включаю recidive осторожно, ограничиваю размер набора и мониторю ошибки reload после обновления дистрибутива.

С SSH Protector я подключаю хосты поддерживаемым агентом, вижу обнаруженные порты и атаки из одной панели, но храню исключения и политику в границах нужного сервера/клиента. Я применяю базовые значения, отдельно документирую отклонения и направляю уведомления ответственному заказчика.

Бесплатно я описываю sshd, fail2ban и nftables ролями Ansible с отдельным inventory и vault каждого клиента, проверяю изменения в CI и собираю журналы в Wazuh/центральный syslog с tenant-тегами. Я автоматически сравниваю конфиг с baseline и никогда не объединяю ключи, CIDR и секреты разных заказчиков.

С SSH Protector я заранее применяю политику на агенте; он продолжает читать локальный журнал и менять системный фаервол по последней конфигурации, когда связь с панелью потеряна. Я синхронизирую whitelist до отключения, проверяю накопленную историю после восстановления и не открываю входящий порт управления агентом.

Бесплатно я делаю контроль полностью локальным: nftables/ufw разрешает SSH только с VPN или нужных подсетей, а fail2ban работает по journald без внешней сети. Я сохраняю правила на загрузку, ставлю локальную очередь для уведомлений, тестирую перезапуск без DNS и оставляю физическую/провайдерскую консоль для восстановления ошибочного правила.

Я ставлю агент SSH Protector, не останавливая fail2ban. У агента своя отдельная таблица nftables (inet sshprotector, на старых хостах — пространство имён ipset с префиксом), и он перестраивает только её, поэтому цепочек fail2ban не касается и ни один из двоих не откатывает другого. При установке я сразу добавляю свой адрес в белый список, затем сутки смотрю в панели, ловит ли агент те же источники, что и jail. Только после этого останавливаю fail2ban и убираю его правила. Если передумаю, удаление агента забирает его правила с собой и оставляет firewall прежним.

Без всякого агента переход между двумя инструментами, читающими лог, делается так же. Оставьте старый работать, дайте новому собственное имя цепочки или таблицы, чтобы правила не столкнулись, сравните за полные сутки реального трафика, кто что поймал, и выключайте старый только тогда, когда счётчик банов у нового перестанет быть меньшим из двух. Никогда не снимайте работающий первым: нескольких незащищённых минут на открытом порту SSH хватает ботнету, который вас уже сканирует.

Они решают пересекающиеся задачи с разных сторон, и я выбираю по форме, а не по баллам. CrowdSec — это движок с языком сценариев, отдельно устанавливаемыми компонентами блокировки и блок-листом, который наполняют все, кто его запускает; охват далеко выходит за SSH. SSH Protector — один бинарник, делающий одно: читает лог аутентификации SSH, SFTP и FTP, банит всю подсеть /24 атакующего в собственной таблице nftables, сохраняет бан после перезагрузки, определяет настоящий порт sshd вместо предположения о 22 и отчитывается в панель, которая скажет, когда защищённый сервер замолчал. Репутация делится между защищёнными аккаунтами, а не со всем интернетом.

То есть решение — про то, что у меня на самом деле есть. Нужна широта — HTTP, базы, произвольные источники логов, собственные сценарии детекта — у CrowdSec для этого есть место, и запуск ничего не стоит. Если же у меня несколько Linux-машин с открытым портом SSH и некому поддерживать стек детекта, мне нужна узкая вещь, которая права без настройки. Я не гонял их друг против друга на одном хосте, поэтому не выбираю по цифрам производительности — и тем, кто ими размахивает, тоже не стоит.