SSH防暴力破解

---

🔑关键字：SSH🖥️、暴力破解、零信任防火墙

---

“😊SSH自由：随心所欲、安全无忧地使用SSH。”

SSH（安全外壳协议）是一种广泛应用于Linux/Unix远程登录和数据传输的协议，对于开发人员和系统管理员来说至关重要。

然而，由于暴力破解、漏洞等网络安全因素的掣(che)肘，IT运维人员并不能“SSH自由”😔。

---

(一) 🚀SSH服务概述

SSH（Secure Shell 安全外壳协议）是 Linux/Unix 上常见的一种网络协议，使用SSH，用户可以远程控制另一台计算机，执行命令和管理文件，就像他们直接坐在那台计算机前操作一样。

这种技术广泛应用于远程工作、远程支持和服务器管理等场景，深受 Linux/Unix 运维人员的喜爱。

然而，由于暴力破解、漏洞等网络安全因素的掣(che)肘⚠️，运维人员并不能“SSH自由”。

---

(二) 😟掣(che)肘

SSH 要求被控端开放 TCP 22端口。

开端口，这就带来安全问题。🚨

SSH的22端口对运维人员“真香”，对攻击者也一样“真香”。

• 💥暴力破解攻击：SSH服务可能遭受暴力破解攻击、撞库攻击。

• 🐛已知漏洞攻击： 面临各种已知的SSH漏洞攻击威胁（不完全统计）。

  SSH漏洞编号	漏洞类型	详情
  CVE-2023-38408	远程代码执行	MITRE
  CVE-2023-28531	安全绕过	MITRE
  CVE-2023-25136	远程代码执行	MITRE
  CVE-2022-31124	信息泄露	MITRE
  CVE-2021-41617	特权提升	MITRE
  ……	……	……

• 👻0day漏洞攻击：SSH的远程代码执行（Remote Code Execution）0day漏洞尤其危险，攻击者可以利用此种漏洞直接获取对系统的完全控制权。

---

(三) 🛠️传统解决之道

SSH 保护	（1）暴力破解攻击	（2）已知漏洞攻击	（3）0day漏洞攻击	🟢易实施	👍使用SSH便利
🔀更改默认端口	⭐	⭐	⭐	⭐⭐	⭐⭐
🔒强密码和账户锁定策略	⭐⭐⭐			⭐⭐⭐	⭐
🛡️勤打补丁		⭐⭐⭐		⭐⭐	⭐⭐⭐
🌐 IP限制/VPN/堡垒机	⭐⭐⭐	⭐⭐⭐	⭐⭐⭐	⭐	⭐

表格显示，面对SSH的网络安全威胁，大部分传统措施都只能解决部分安全问题。

“🌐IP限制/VPN/堡垒机”虽然能很好解决所有安全问题，但是应用后SSH的灵活性会大打折扣。

而且VPN和堡垒机部署起来太笨重，通常只适合大型用户。

有没能解决所有安全问题，让广大运维人员“SSH自由”的办法？

有，零信任。

---

(四) 🌟创新解决之道——零信任

通过零信任技术，让被控端SSH的22端口看起来像是关闭的，这样一来“💥暴力破解攻击”、“🐛已知漏洞攻击”、“👻0day漏洞攻击”等网络攻击统统无处发力，而可信IP依然可以正常发起SSH连接💡。

1. 🧩具体原理

🖥️ 客户端：发起连接之前（如 SSH连接），通过一些机制主动把自身IP加入到被控端的可信IP中。
☁️ 服务端：在网络层，对要保护的端口（如 SSH的 TCP 22 端口）除可信IP外拒绝其它任何IP发起的连接。

2. 🌌深空防篡改系统：零信任防火墙

深空防篡改系统中的“零信任防火墙”功能 就是一种SaaS模式的基于 零信任 技术原理的软件。

它能保护TCP 3389 端口（Windows远程桌面💻）、TCP 22端口（Linux/Unix SSH服务🖥️）等敏感端口，确保它们的安全和便捷访问，免受“💥暴力破解攻击”、“🐛已知漏洞攻击”、“👻0day漏洞攻击”等各种网络攻击的侵害。

上图所示（以 Linux/Unix SSH 为例，Windows 远程桌面类似）：
部署前

服务器的 TCP 22 端口暴露于各种网络攻击的威胁中⚠️。

部署后

第1步：用户A双击打开一个私密的网址快捷方式🔗，该网址自动向零信任防火墙系统报送A的最新IP🌐。

👉：随后被保护的 TCP 22 端口对A的IP可见👀。

第2步：用户A发起SSH连接（随心所欲、无后顾之忧）。

👉：其他IP依然无法探测到该端口🚫。

中国科学院、中国科技部、金融银行、以及众多上市公司、跨国公司都在用它~😊

更多：

• 这软件靠谱不？
• 哪些人用过这软件？
• 什么技术原理？
• 如何下载、安装、配置？

---

(五) 📝总结

在本文中，我们探讨 SSH 的潜在风险⚠️，以及如何通过零信任防火墙来减轻这些风险。

尽管传统的安全措施如

• 🔀更改默认端口
• 🔒 使用强密码策略
• 🛡️ 勤打补丁
• 🌐IP限制或VPN使用等

在一些方面或一定程度上提供了保护，但它们可能会牺牲灵活性或实施起来较为复杂😟。

而零信任防火墙则提供了一种创新解决方案💡，通过保护敏感端口对非信任IP不可见👀，来防止潜在的网络攻击🚫，让运维人员真正实现了“SSH自由”🚀。