GCP VM實例遭到入侵。 如何保護它？

Question

因此，昨晚我收到來自google-cloud-compliance的郵件，其中一個VM實例存在一些嚴重問題，如果繼續使用該模式且未提出上訴，它將在72小時后暫停。 以下是我收到的郵件。

我們最近發現您的Google Cloud Project一直在對第三方進行入侵嘗試，並且似乎違反了我們的服務條款。 具體來說，我們檢測到遠程端口22上的端口掃描，該端口掃描來自您的Compute Engine項目，目標是在2019-04-02 09:31和2019-04-02 09:55（太平洋時間）之間建立超過4451個IP地址。 請檢查源自您所有實例的流量，並修復可能受此影響的任何其他實例。

要通過ssh訪問VM，您必須在實例本身中添加公鑰，並且在實例中部署了一個最小的Django項目，因此我認為這不是由於這兩個原因造成的。 所以我的問題是造成它的原因以及如何保護我的VM實例。

Answer 1

我強烈建議您刪除您的VM實例，因為您無法完全確定VM實例是否受到危害。

重新創建所有內容后，您可以采取一些措施來防止這種情況再次發生。 如評論中所述，我將使用強密碼，並確保您使用的所有軟件均已正確更新和修補，尤其是Django。

另外，我將使用最小特權的最佳實踐來了解防火牆規則。 例如，您可以確保端口22僅允許您用來訪問實例的IP。

最后，我建議你去看一下這個 。 它是一項新的Beta功能，可讓您檢測“源自組織內部的DDoS攻擊”。 此外，您可以檢查此最佳做法以加強SSH訪問。 其中特別引人注目的是https://www.sshguard.net/ ，它能夠在幾秒鍾內識別出多種登錄失敗等模式，然后阻止有問題的IP。