Brute-Force auf SSH: Warum Ihr Server ständig angegriffen wird

Wer zum ersten Mal in die Anmeldeprotokolle eines Linux-Servers schaut, erschrickt oft: Hunderte fehlgeschlagene Anmeldungen pro Tag, mit Benutzernamen wie „admin“, „test“, „oracle“ oder „ubuntu“. Das ist kein gezielter Angriff auf Ihr Unternehmen, sondern Alltag im Internet.

Wer greift da an?

Automatisierte Programme durchsuchen rund um die Uhr das gesamte Internet nach erreichbaren Diensten wie SSH. Finden sie einen, probieren sie Listen bekannter Benutzernamen und schwacher Passwörter durch. Dahinter stehen meist Botnetze aus bereits übernommenen Rechnern.

Das Ziel ist selten Ihr Unternehmen selbst, sondern Rechenleistung: Übernommene Server werden für Krypto-Mining, Spam oder weitere Angriffe missbraucht.

Wann es gefährlich wird

• Ein Konto hat ein schwaches oder mehrfach verwendetes Passwort.
• Die Anmeldung als root ist per Passwort erlaubt.
• Nach vielen Fehlversuchen folgt plötzlich eine erfolgreiche Anmeldung, besonders von einer unbekannten Adresse.

Genau dieses Muster, viele Fehlversuche und dann ein Erfolg, bewertet unser SOC als kritisch. Einzelne Fehlversuche dagegen sortiert die KI als Grundrauschen aus.

Drei Einstellungen, die fast alles lösen

Zusätzlich hilft eine automatische Sperre nach mehreren Fehlversuchen. Sie reduziert das Rauschen in den Protokollen, ersetzt aber nicht die drei Punkte oben.

• Anmeldung nur per Schlüssel: PasswordAuthentication no in der SSH-Konfiguration.
• Kein direkter root-Zugang: PermitRootLogin no, Administration über sudo.
• Zugriff einschränken: SSH nur aus dem Firmennetz oder über VPN erreichbar machen.

Fazit

Brute-Force-Versuche lassen sich nicht verhindern, solange ein Dienst öffentlich erreichbar ist. Mit Schlüssel-Anmeldung und eingeschränktem Zugriff laufen sie aber ins Leere. Wichtig ist, den einen erfolgreichen Versuch nicht zu übersehen, und genau dafür ist eine laufende Überwachung da.