fail2ban na web loginy

27.11.2015 15:37 | Přečteno: 1156× | poslední úprava: 27.11.2015 15:38

fail2ban (k nájdeniu v každom dobrom balíčkovacom systému) umožňuje blokovať IP adresy na základe logov. ako doplniť vlastný log a ako ho vytvoriť? napr ak mám prihlasovanie na mojej webstránke. na mojom serveri oma.sk mám prihlasovanie cez web. aby som predišiel brute-force útokom na heslá, chcem využívať fail2ban. dokumentácia k tomuto je dosť chabá, ale po pár pokusoch a omyloch to už funguje. robenie logov

samozrejme, ako prvý je obligatórny touch a chown a chgrp na správneho usera (a nastavenie logrotate).

v samotom PHP skripte, v časti kde zistím že heslo nie je dobré, mám:

$fh=fopen('/var/log/moj-auth.log','a'); 
fwrite($fh, date('c').' moj bad user from '.$_SERVER['REMOTE_ADDR']."\n"); 
fclose($fh);

najväčší problém bol zistiť formát čo dať do date(), nie je to extra popísané...

a v časti kde je dobrý login mám (ak treba):

$fh=fopen('/var/log/moj-auth.log','a');
fwrite($fh, date('c').' moj good '. $_SESSION['username'].' from '.$_SERVER['REMOTE_ADDR']."\n");
fclose($fh);

toto vytvára jednoduchý súbor s dátumami a ip adresami. keďže je súbor otvorený iba "chvíľu", nemal by byť problém s viacnásobným zápisom. resp, ešte som ho nezbadal...

nastavenie fail2ban

filter ide do /etc/fail2ban/filter.d a obsahuje čosi ako (ak nemáte užívateľa "bad")

[Definition]
failregex = ^.* bad .* <HOST>$

jail ide do /etc/fail2ban/jail.d a obsahuje

[moj-jail]
enabled = true
filter  = nazov-filtra-z-predosleho
port     = http,https
logpath  = /var/log/moj-auth.log
maxretry = 3
findtime = 360
#banaction = dummy

a fail2ban reload. a vuala, funguje.        

Komentáře

[mirec]

Úplne mimo témy ... niektoré mapy aj voľne dostupné (napr. smartmaps) majú veľmi podrobne zmapované aj rôzne lesné cesty. Patria také podrobnosti do openstreetmap / freemap, alebo tam majú byť len turistické chodníky?

[michal00]

vyzerá to ako nejaká odnož seznamu, takže mapy nie sú voľne dostupné (až na oblasti mi SR/ČR kde používajú OSM).

lesné cesty samozrejme v osm áno (highway=track, singletracky highway=path)

[mirec]

Voľne dostupné ... myslel som dajú sa zobraziť bez platenia v prehliadači (vlastne mám ich aj v navigácii, len offline verzia je platená). Ja osobne používam v lese buď tieto, alebo SHOCart pretože majú zakreslené aj lesné cesty. Takže môžem normálne zapnúť GPS tracker a prispievať do freemap aj lesnými cestami, správne?

[dumblob]

Do OSM patri uplne vsechno. Maji tam profily snad pro kazdy typ existujici cesty a dokonce muzes pridat vlastni (je dobre vsak s nimi nejprve probrat na mailing listu) a nebo poupravit parametry stavajici (podle povrchu, prujezdnosti ruznymi dopravnimi prostredky, materialu cesty, stavu cesty v prubehu rocnich obdobi, atd.).

Po absolvovani workshopu OSM jsem si uvedomil, ze OSM je opravdu komplexni a pritom jednoduchy framework pro mapovani cehokoliv (i budovy uvnitr, (pod)morske cesty, cesty pro nevidome, zachranarske docasne cesty, atd.).

[Mrkva]

keďže je súbor otvorený iba "chvíľu", nemal by byť problém s viacnásobným zápisom. resp, ešte som ho nezbadal...

Ach jo...

[R]

A pritom PHP ma syslog()...

[michal00]

jaj, dobre vedieť o php syslog. asi si naštudujem... vďaka

[Václav "Darm" Novák]

„protože se do té tabulky zapisuje jen na chvilku, neměl by být problém s neblokováním“… Za takový přístup by mě v práci zabili :D

[Odin1918]

Podle mne byste s takovym pristupem ani zadnou praci neziskal.

[Bystroushaak]

To je právě problém nabírání lidí. Pokud člověk sám není programátor, tak je velmi těžké odhadnout, nakolik je nabíraný kandidát prase. Obzvlášť těžké mi to přijde, když neukáže vlastní projekty, jenže těm neprogramátoři nerozumí. Když takhle nabírá lidi třeba ředitel IT, tak to může skončit špatně.

[Peter Golis]

Má kravatu, takže to bude spoľahlivý pracovník.

[Odin1918]

To, jak clovek prijde na pohovor oblecen, je velice dulezite. Tedy az na tech par zvlastnich firem, kde zadny dresscode je stanoven.

[Bystroushaak]

V programátorské branži jdeš v obleku tak leda do banky. Osobně si oblek beru občas beru z nejistoty, protože je mi blbé se ptát na dress code, ale jsem jediný a ani protistrana ho zpravidla nemá.

[Odin1918]

V programátorské branži jdeš v obleku tak leda do banky.

S tim opravdu nesouhlasim. Ale asi zalezi, v jakych firmach se clovek pohybuje.

ale jsem jediný a ani protistrana ho zpravidla nemá.

Smutne.

[Miloslav Ponkrác]

Obecně platí pravidlo, že čím vyšší IQ je v daném pracovním prostředí potřebné, tím méně se vyžaduje formální oblékání.

[Odin1918]

Tuto myslenku jsem uz slysel a shodou okolnosti od smradlaveho asociala, ktery dostal vypoved. Neplati to podle mne ani u programatoru, natoz u jinych profesi. Vyjimky jiste jsou a ve spouste firmach patrne neni duvod k tomu, aby byl predepsan programatorum dresscode. V takove firme bych vsak pracovat nechtel. Dresscode patri k firemni kulture a take je svata pravda, ze saty delaji cloveka.

[Bystroushaak]

Já bych si asi práci ve firmě, kde vyžadují oblek každý den rozmyslel. Něco takového by mi za peníze prostě asi nestálo, museli by mě motivovat jinak.

[Odin1918]

Zajimave. Ja se tedy v obleku citim daleko lepe nez v obycejnem obleceni. Nikdy jsem to nevnimal jako problem.

[kyknos]

ja bych do toho sel, ale:

oblect se rano do obleku = opruz tak za 1000,-

hodina v obleku = opruz tak za 100,-

nakupy a udrzba vhodnych obleku vcetne bot = tak 10000,- mesicne, pokud to rozpocitame na delsi obdobi

kdyz by tohle pridali k platu jako specialni bonus za noseni obleku, tak snad

[Václav "Darm" Novák]

Spíš kde se pohybuje. Dokud jsem jen programátor, beru si pohodlnější oblečení. Ale časem po mě budou požadovat i cestování za klientem a věci jako analýzu problému na místě, tam už bude formálnější oblečení celkem jasná volba.

[mirec]

Najlepší pracovník, ktorého sme v bývalej práci mali prišiel na pohovor zablatený s batohom a párhodinovým meškaním. Keby sme vtedy prijali nejakého flákača v obleku boli by sme v prdeli.

[Odin1918]

Vyjimky jiste jsou.

[Odin1918]

+1

[Bystroushaak]

„protože se do té tabulky zapisuje jen na chvilku, neměl by být problém s neblokováním“… Za takový přístup by mě v práci zabili :D

Tak to je taková typická logika PHP koderů. Nechci hejtovat autora, ale ty věci, se kterými se občas setkávám .. brr. Někdy mi přijde, že prostě PHP svojí mrzáckostí přitahuje úplně určitý typ myšlení.

[Kvakor]

Přitom PHP má implemenotvané semafory (v SysV stylu) už od verze 4 a pokud by tento způsob synchronizace někomu nevyhovoval, může se ještě použít zamykání souboru.

Obecně, nikdy by se něco podobného nemělo předpokládat. Je možné říct pouze "nebudu proměnnou/soubor/paměť/buhvíco zamykat, protože možné souběhy nevadí" (např. data, u kterých je chvilková nekonzistence nepodstatná, jako u stavu vypisovaném pro uživatele každou sekundu), ve všech ostatních případech se zamykat prostě musí a basta.

[Michal Karas]

Buď mi chybí nějaký kus kontextu anebo mám narozdíl od ostatních účastníků podvlákna asi vážnou mezeru ve vzdělání, ale jestli je znalost a spolehání se na zamykací mechanismy DBMS projevem nějakého PHP patlalismu, tak jak teda ukládají záznamy do databáze profíci?

[FoxVK]

Teda já osobně bych spíš udělal něco jako takový pseudo honey pot. Po třeba 20-ti neúspěšných pokusech prostě na všechny pokusy odpovídat login nezdařen a povolit přihlášení až třeba za hodinu od doby co toho nechá.

Dalším vylepšením by bylo seskupovat příchozí adresy podle loginu který zkouší a brát tutou skupinu jako jednoho točníka

Taky by se dal zavést seznam n obecně nejpoužívanějších hesel (admin, root, 123456,...), zakázat jejich nastavení uživatelům a útočníka blacklistovat hned jak se o takové heslo pokusí.

[johniez]

A neni divne, ze jeden uzivatel muze zablokovat pristup na web vsem uzivatelum se stejnou IP adresou? napriklad za stejnym NATem?

[Max]

Osobně nevím, jaký fail2ban má účel ... :-/. Možná ho lidi používají pro lepší pocit bezpečí, těžko říci.
Zdar Max

[trekker.dk]

Osobně nevím, jaký fail2ban má účel

Odpojit IP adresy, ze kterých leze bordel, dokud to ten zavirovaný bot na druhé straně nevzdá. Nic víc, nic míň.

[Max]

Sorry, asi jsi mně špatně pochopil, zkusím to líp formulovat : "Osobně nevím, jaký fail2ban má účel ..."
Zdar Max

[FoxVK]

+1 Jo no - a ještě se tvůj web pro ně tváří, že nefunguje a bez jakéhokoliv vysvětlení.

IMHO fail2ban je super na ssh přístup k serveru, ale tady je to dost nešťastné řešení.

[Peter Golis]

-1 Pri fail2ban musí človek vedieť čo robí, to si málo kto uvedomuje. Samozrejme, že v prípade hoci aj ssh sa dá ten nástroj elegantne nahradiť. A to neberiem do úvahy že filtre F2B nepoznajú všetky hlášky sshd, a syslog má štandardne potlačené zobrazovanie floodu. Idem si ja napraviť kravatu a vyleštiť lakovky.

Ale v tomto prípade je možno jednoduchšie porozmýšľať načo je apache-auth.conf vo F2B, a prečo má človek custom autentifikáciu.