Usted puede endurecer ssh e instalar denyhosts, sshguard, y Snort, el Corral, la Base y la Muestra.

Consulte los siguientes enlaces para obtener más detalles:

https://discussions.apple.com/thread/3565475 https://discussions.apple.com/thread/4473229?tstart=0

1. Desactivar root y la contraseña de inicios de sesión:

   vi /etc/sshd_config

   PermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthenticatio no

   A continuación, utilice ssh-keygen en el cliente remoto para generar las claves públicas/privadas que se puede utilizar de forma remota de inicio de sesión para el servidor:

   client$ ssh-keygen -t rsa -b 2048 -C client_name [Securely copy ~/.ssh/id_rsa.pub from client to server.] server$ cat id_rsa.pub > ~/.ssh/known_hosts

2. Instalar denyhosts y sshguard.

   • sudo port install denyhosts sshguard
   • sudo port load denyhosts
   • sudo port load sshguard

   Usted puede configurar denyhosts para bloquear todo el tráfico, no sólo el tráfico ssh.

3. Snort, con un mapa del mundo de los ataques:

   https://discussions.apple.com/thread/4473229?tstart=0

Para responder directamente a la pregunta planteada. Tengo otro script que los correos electrónicos de mí, de nuevo, alrededor de la medianoche, si alguien inicia sesión correctamente en via ssh.

#!/usr/bin/env bash

mm=`date +%b`
dd=`date $1 +%d`
dd=`expr $dd`
if [ "$dd" -ge "10" ]
  then 
    dt=`echo "$mm $dd"` 
  else 
    dt=`echo "$mm  $dd"` 
fi

cat /var/log/secure.log | grep -E '(Accepted|SUCCEEDED)'| grep -E -v '(my.ip.address|192.168.1)' | grep "$dt" >> /tmp/access_granted

/usr/bin/mail -E -s "Access granted" email@myserver.com < /tmp/access_granted
rm /tmp/access_granted

Editar el grep por encima de excluir a su propia IP fija, si quieres, y a utilizar su dirección de correo electrónico. Usted puede combinar algunos de los códigos en mi otra respuesta para agregar fracasos para VNC.

Para expandir un poco Fail2ban, una vez que está configurado y funcionando tengo un script que ejecuta justo antes de la medianoche que raspa y de los registros de los correos electrónicos que me lo Fail2ban ha estado haciendo durante el día anterior.

La secuencia de comandos es la siguiente y se puede ejecutar desde cron o un launchd plist.

#!/usr/bin/env bash

mm=`date +%b`
dd=`date $1 +%d`
dd=`expr $dd`
if [ "$dd" -ge "10" ]
  then 
    dt=`echo "$mm $dd"` 
  else 
    dt=`echo "$mm  $dd"` 
fi

cat /var/log/system.log | grep "$dt" | grep org.fail2ban | grep -v COMMAND > /tmp/fail2ban_deny
cat /var/log/fail2ban.log | grep -E '(WARN|ERR|rotation|target)' | grep `date $1 +%Y-%m-%d` >> /tmp/fail2ban_deny
cat /var/log/ipfw.log | grep TCP | grep "$dt" >> /tmp/fail2ban_deny
cat /var/log/secure.log | grep VNC | grep FAILED | grep "$dt" >> /tmp/fail2ban_deny


/usr/bin/mail -E -s "Fail2ban ipfw" email@yourserver.com < /tmp/fail2ban_deny
rm /tmp/fail2ban_deny

Obviamente se necesita para utilizar la dirección de correo electrónico de su elección.

La configuración de Fail2ban es un asunto completamente diferente. He escrito mucho sobre él.

Es bastante simple de instalar Google Authenticator PAM plugin en Mac OS X si X código de la línea de comandos del compilador instalado. El código y las instrucciones están aquí:

https://code.google.com/p/google-authenticator/wiki/PamModuleInstructions

Una vez que usted inicializa el token (generar un código de alimentar a la aplicación en su teléfono), usted tendrá la autenticación de dos factores para proteger su máquina. Cualquier cuenta sin un inicializado token no será capaz de iniciar sesión, así que si usted no desea permitir el acceso de root, no inicializar una clave para que se de cuenta.

Pero en serio, algo así como DenyHosts sólo tiene sentido si usted tiene que mantener SSH abierto en internet. Por desgracia, ya que Mac OS X V10.8, Apple ha eliminado tcpwrappers el apoyo de el demonio SSH, por lo que ignora /etc/negar.los ejércitos, que era un tonto mover, si usted me pregunta, la eliminación de una característica de seguridad.

Para evitar esto, he utilizado MacPorts para instalar un up-to-fecha de openssh demonio, y restablecer la plena tcpwrappers funcionalidad, editado y utilizar DenyHosts demonio a monitor /var/log/system.registro y prohibición de las IPs que están adivinando los inicios de sesión y contraseñas. Y no te olvides de actualizar MacPorts y verificación/instalar openssh/DenyHosts cada vez que se actualice el sistema operativo.

Buena Suerte!