Zakázat celý rozsah?

5.7.2007 08:36 | Přečteno: 1790× | Linux - IT | poslední úprava: 5.7.2007 20:13

Na serveru mi běží pár služeb, k tomu hosts.deny, pozoruji docela často nějaké pokusy o zalogování se po ssh, zkoušení hesel, z nečekaně širokého světa.

Nejdřív jsem nad tím chtěl mávnout rukou, tak si děti hrajou, v diskusích tady na AbcL byly takové návrhy, jako domluvit se s adminem domény, s tim, přes mail, co najdu přes whois.

Pak jsem se podíval k tátovi do pc, vidim tam některé ajpiny stejné, stejně mi jejich počet začal narůstat rychleji, snažím se blokovat dle jejich souhrnu.

Nakonec mne napadlo, místo posílání výpisu logu na toho admina zakázat celou síť - příklad z manu | hosts.deny ...

  o      A string that ends with a `.' character. A host address is matched if its  first  numeric  fields
         match  the  given  string.   For  example, the pattern `131.155.' matches the address of (almost)
         every host on the Eindhoven University network (131.155.x.x).

Co byste dělali/děláte na mém místě?

       

Anketa

Komentáře

[medulin]

Co byste dělali/děláte na mém místě?

Nic. Mávám nad tím rukou.

[Ondrej 'SanTiago' Zajicek]

Pokud jsou scany mene agresivni, tak nad tim mavam rukou, ale uz jsem parkrat zaznamenal scan, ktery me vytizil CPU na 30%, v takovem pripade blokuji IP adresu.

[Heron]

denyhosts

[vencour]

Už používám, dneska jsem zdrsnil konfiguraci, snížil počet neúspěšných pokusů atd.

[jm]

denyhosts

To je bezpecnostni dira sama o sobe (a to opakovane).

[fx-95]

Tak začni používat nějakýho démona, co ty adresy zablokuje sám po pár neúspěšných pokusech o login ;). Já používám sshutout.

[Lu-Tze]

Proč nejde javascript:document.forms[2].submit()?

[masožravá palma]

Není tady něco špatně s anketou? Jakýkoliv pokus o hlasování i kliknutí na nějaký z těch divných odkazů končí tady.

[vencour]

Přidal jsem tuto mou chybu do vzkazu správcům.

[Bluebear]

Obávám se, že většina těch útoků jsou projevy virů/červů. Čekal bych, že ty IP jsou většinou NATy nebo dynamické adresy domácích počítačů připojených přes kabelovou televizi apod., takže zablokování rozsahu IP bude mít ten nepříjemný vedlejší efekt, že od daného poskytovatele se k tobě nikdo nedostane.

Nicméně v případě masívního útoku je dočasný zákaz rozsahu, ze kterého to přišlo, rozumné nouzové opatření (ale opravdu spíš nouzové).

[Bluebear]

Možná by stálo za to nasadit hardwarový firewall, který je příliš jednoduchý, než aby šel nějak rozumně hacknout (nějaká malá krabička s ARMem nebo jiným malým procesorem). Počet útoků to nezmenší, ale riziko průniku se sníží.

[Bluebear]

Například takový. Do něj malý kernel, ssh povolený jen pro vnitřní síť, NAT a firewall nastavený tak, aby propouštěl jen pár vybraných typů spojení, a vyhráls

[vencour]

Jako inspirace by to šlo. Vypadá docela lákavě. Až na tom serveru bude co chránit, tak na to asi dojde - podle aktuálních zkušeností se současným řešením se pak rozhodnu.

[alkoholik]

Pod debianem zacni treba s apt-get install fail2ban.

[David Jaša]

Na domácím serveru mám omezený počet nových spojení za sekundu a v sshd_config povoleny jen určité uživatele. Skenovat si pak může kdo chce co chce, hesla nemá tempem 3 pokusy za sekundu šanci prolomit.

[vencour]

Zkoušel jsem LoginGraceTime nastavit na 2m, snad i díky tomu jsem se pak musel přihlásit z localu a ne přes ssh (?), takž jsem to zase zaremoval (#, zakomentoval). Povolený uživatele mam (AllowUsers).

[David Jaša]

Počet nových spojení mám omezený v iptables (modul limit).