¿Cambiar el puerto predeterminado de SSHD es una buena práctica?

No, no deberías, pero si quieres hay poco daño en eso. Aunque, potencialmente puede abrirse a más vulnerabilidades que si dejara sshd en el puerto 22

Primero, Costya Perepelitsa dio una gran explicación del nivel de “seguridad” que se obtiene a través de la seguridad a través de la oscuridad, y no puedo pensar en mucho para agregar al respecto. Por lo tanto, no cubriré ninguna de las razones por las cuales alejarse de sshd del puerto 22 no lo protegerá de nada más que de ataques automáticos.

Ahora, como he dicho, no es necesario mover ssh fuera del puerto 22. Instalar y configurar un servicio de fuerza bruta como fail2ban bloqueará permanentemente las direcciones IP de aquellos que intentan forzar la fuerza bruta en su servidor. Esto agrega una gran cantidad de protección y le ahorra la basura de registro generada por la fuerza bruta mientras le sigue notificando que se hizo un intento. Debería usar fail2ban o algo similar, independientemente de qué puerto escuche sshd

Después de eso, lo más importante que debe saber al mover sshd fuera del puerto 22 es que debe estar en un puerto <1024. En la mayoría de los sistemas * nix, solo los procesos propiedad de root pueden escuchar en los puertos 1 a 1024, mientras que el resto de los puertos pueden ser escuchados por procesos propiedad de cualquier usuario. En caso de que su sistema se vea comprometido y el atacante tenga un usuario no root en su sistema, puede reemplazar fácilmente el proceso sshd que escucha en su puerto> 1024 con uno propio que registrará toda su entrada, incluidas las contraseñas, y de este modo ganándolos raíz.

Este tipo de ataque es bastante fácil de ejecutar para el enemigo. Todo lo que necesitan hacer es matar el proceso sshd a través de exploit, o esperar a que se reinicie por una razón u otra. Una vez hecho esto, vinculan su sshd envenenado a su puerto no estándar que es> 1024 (que de nuevo, no necesitan hacer root), y simplemente esperan que inicie sesión con su cuenta de sudo enable.

Si bien es poco probable que ocurra esta situación, no puede simplemente mover sshd a un puerto diferente de cualquier manera y llamar a su servidor seguro. Debe ser capaz de prepararse para los peores escenarios. Entonces, si realmente desea mover ssh fuera del puerto 22, por amor a todo lo que es hermoso en este mundo, al menos manténgalo en un puerto <1024 y configure fail2ban.

… o simplemente podría deshabilitar todas las contraseñas para la autenticación sshd y usar certificados RSA en su lugar y eliminar todo este problema en el trasero.

Editar: Ok, necesito hacer mi respuesta más completa. No me di cuenta de que algunas personas piensan que esto es realmente una buena idea.

No. Cambiar su puerto SSH tiene un valor cercano a cero. En el mejor de los casos, reduce el ruido en sus archivos de registro. En el peor de los casos, da una falsa sensación de seguridad y dificulta los procedimientos operativos. En el peor de los casos, lo moverá a un puerto superior a 1024 y facilitará a las personas robar sus pulsaciones de teclas. Incluso si lo cambia, un hacker dedicado tardará 30 segundos en encontrar su nuevo puerto SSH.

Si desea proteger SSH de atacantes externos:

• Desactive las contraseñas y use claves RSA en su lugar para la autenticación. https://help.ubuntu.com/communit …
• Instale software como fail2ban para monitorear los archivos de registro y bloquear automáticamente los intentos de contraseña incorrecta.

Estos dos pasos son TAN simples. Son apenas más trabajo o esfuerzo y hacen que su sistema sea realmente seguro en lugar de solo fingir.

En serio, si vas a administrar tu sistema con la vista puesta en la seguridad, hazlo seguro, no solo como se ve.

Aquí hay algo más en la misma línea.

Por qué poner SSH en otro puerto que no sea el 22 es mala idea

Sí, reduce la posibilidad de que las personas y los scripts automáticos lo descubran. Seguridad por oscuridad, dicen algunos. El hecho es que si no pueden encontrar la puerta de entrada, pueden saltarse el edificio del hoyo y pasar a la siguiente.

No tiene nada de malo agregar una capa adicional de seguridad, aunque sea delgada.

Pros:

• menos ruido en el registro

Contras:

• la gente (y tú) olvidará a qué puerto cambiaste

El “profesional” puede ser anulado mediante el uso de claves en lugar de contraseñas (que de todos modos es una buena idea) y afinando su sistema de registro.
Esta respuesta supone que desea una capa adicional de higiene (ni siquiera protección).

Tal vez. Pero si su preocupación es la seguridad, algunas personas que hacen fuerza bruta con contraseña para acceder a su máquina, es mejor implementar alguna política de contraseña. Bloquear el inicio de sesión después de 3 (más paranoico) o 6 intentos de contraseña inválida, puede ayudar.