当有人以 root 身份登录我的服务器时该怎么办

Question

我有一台运行 Debian 6.0 且安装了 logcheck 的服务器。昨天，我收到了这样一条消息：

Jan 19 19:15:10 hostname sshd[28397]: Authentication tried for root with correct key but not from a permitted host (host=4.red-2-140-77.dynamicip.rima-tde.net, ip=2.140.77.4).

我不知道这是谁，我怀疑他是偶然出现的。

现在，我该怎么办？

我做的第一件事是禁用 ssh 密码身份验证并切换到公钥/私钥。我还检查了authorized_keys 文件，只看到了我的公钥

接下来是什么？

我怎么知道其他人在我的机器上做了什么？

Answer 1

我相信这是一个已经存在太久的错误，它在以后的版本 (6.0p1) 中得到了修复。

通过尝试从受限制的主机连接到系统，使用不同的密钥并查看您收到的消息，可以很容易地验证这一点。

Answer 2

这可能是OpenSSH 中长期存在的错误，仅在 6.0p1 中修复。在这种情况下，您可以放心地忽略它。但是，如果您想安全，原始答案（假设您不受此错误影响）是：

您的 ssh 私钥可能已被泄露，因为有人拥有用于登录您的 root 帐户的有效私钥。某人没有从允许的 IP 地址登录这一事实使您免于进一步的妥协。然而，这是一个重大的妥协；它表明您的工作站（或您通常使用的其他机器）受到了威胁。

您应该将您接触的每个工作站和服务器都视为可能受到损害。格式化并重新安装您的工作站。撤销/销毁所有现有的 ssh 密钥并重新设置所有内容。更改所有密码。强烈考虑擦除并重新安装您有权使用此密钥登录的任何服务器。