Dotaz: fail2ban nebanuje

[jejda]

Ahojte! Už několik dní mě na archlinuxu zlobí fail2ban. IP adresy které má v databázi blokuje dál a postupně je odbanovává jak vyprší ban, ale nepřidává žádné nové. Všiml jsem si toho podle docela velikého spamu sshd démona v logu. V konfiguraci jsem nic neměnil. Jediná věc co mě tak napadá že by s tím mohla souviset je, že jsem upgradoval před třemi dny openssh na verzi 9.8. Nastavení:

#/etc/fail2ban/jail.local
[INCLUDES]
before = paths-archlinux.conf

[DEFAULT]
bantime = 604800
findtime = 3600
ignoreip = 127.0.0.1/8

[sshd]
enabled  = true
filter   = sshd
action   = nftables[type=multiport, name=SSH, port=ssh, protocol=tcp]
backend  = systemd[journalflags=1]
maxretry = 3

#/etc/fail2ban/action.d/nftables.local
[Init]
blocktype = counter reject with tcp reset

Funguje vám někomu fail2ban s openssh 9.8?

---

---

Odpovědi

[jejda]

Tak jsem zkusil downgrade openssh na verzi 9.7 a fail2ban banuje jak má. Tak teď nevím co s tím když se všude píše jak je verze 9.7 zranitelná.

[Peter Golis]

A píše ten sshd rovnaké texty do logu ktorý číta fail2ban? Pred nejakým časom som si musel upravovať regex.

[jejda]

Ajo maličko se ty výpisy liší. Musel jsem upravit soubor/etc/fail2ban/filter.d/sshd.conf Původně tam bylo _daemon = sshd a upravil jsem to na

_daemon = sshd(?:-session)?

A už to funguje i s openssh 9.8. dík!

[Peter Golis]

Mno, ešte by stálo za to skontrolovať poslednú verziu fail2ban a poprípade sa aj ozvať do upstreamu.

[…]

nestacilo, janevim, pouzit mozek driv nez klavesnici na vystreleni tohole zbytecnyho dotazu?

[…]

a k cemu jako? k cemu je to jako dobry? akorat hovna s tim, nutit kazdej packet, co ma reachnout SSH, prochazet sitem, to taky neco stoji, vime? udrzovani blocklistu, kde jsou cinsky, rusky a co ja vim jaky adresy po kusech, taky neco stoji, vime? vsechno je to drazsi, nez nechat ty pokusy o prihlaseni proste vyfailit…

[jejda]

Mi teda přijde lepší odeslat zpátky RST paket když se s někým nechcu bavit než nechávat to spojení vyhnít. Pokud toho bota nepsal úplný idiot tak toho nechá protože hned ví na čem je. Když to spojení necháš vytimeoutovat tak to bot zkouší znovu a znovu protože neví jestli se třeba paket neztratil. A udržovat nějaké trvalé blacklisty podle státu je ryzí nesmysl. Mám ten fail2ban nastavený docela přísně. Tři neůspěšné loginy během hodiny a týden se na port 22 nepřipojí. Necítím že by mě to nějak omezovalo.

[…]

@ prijde lepsi, jojo, aspon jsi uprimnej, ze to jedes na pocit :) ja vidim jasne v praxi at scale chovani hromady setupu takovejch borcu, jak to ty popisujes… kde zadnej fail2ban neni, neni zadny pravidelny cteni a zapisovani buhvijak dementne velkyho banlistu, co agregovane dela nesrovnatelne vetsi bordel, nez nejaky marny pokusy o prihlaseni… ty naopak vubec nikoho v nicem neomezujou

[jejda]

Ono taky když ten fail2ban vypnu, tak mám z 90% zaspamovaný journal hláškama jako

Jul 07 20:16:58 sshd-session[101289]: Failed password for invalid user test from 125.88.226.167 port 59106 ssh2
Jul 07 20:16:58 sshd-session[101304]: Failed password for root from 217.182.68.115 port 45612 ssh2
Jul 07 20:16:59 sshd-session[101289]: Received disconnect from 125.88.226.167 port 59106:11: Bye Bye [preauth]
Jul 07 20:16:59 sshd-session[101289]: Disconnected from invalid user test 125.88.226.167 port 59106 [preauth]
Jul 07 20:16:59 sshd[95346]: srclimit_penalise: ipv4: new 125.88.226.167/32 deferred penalty of 5 seconds for penalty: failed authentication
Jul 07 20:17:00 sshd-session[101304]: Received disconnect from 217.182.68.115 port 45612:11: Bye Bye [preauth]
Jul 07 20:17:00 sshd-session[101304]: Disconnected from authenticating user root 217.182.68.115 port 45612 [preauth]
Jul 07 20:17:00 sshd[95346]: srclimit_penalise: ipv4: new 217.182.68.115/32 deferred penalty of 5 seconds for penalty: failed authentication
Jul 07 20:17:15 sshd-session[101424]: Connection from 64.227.177.112 port 42224 on 192.168.223.102 port 22 rdomain ""
Jul 07 20:17:16 unix_chkpwd[101433]: password check failed for user (root)
Jul 07 20:17:16 sshd-session[101424]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=64.227.177.112  user=root
Jul 07 20:17:18 sshd-session[101424]: Failed password for root from 64.227.177.112 port 42224 ssh2
Jul 07 20:17:19 sshd-session[101453]: Connection from 43.153.171.66 port 43270 on 192.168.223.102 port 22 rdomain ""
Jul 07 20:17:20 sshd-session[101424]: Received disconnect from 64.227.177.112 port 42224:11: Bye Bye [preauth]
Jul 07 20:17:20 sshd-session[101424]: Disconnected from authenticating user root 64.227.177.112 port 42224 [preauth]
Jul 07 20:17:20 sshd[95346]: srclimit_penalise: ipv4: new 64.227.177.112/32 deferred penalty of 5 seconds for penalty: failed authentication
Jul 07 20:17:20 sshd-session[101453]: Invalid user ubuntu from 43.153.171.66 port 43270
Jul 07 20:17:20 sshd-session[101453]: pam_faillock(sshd:auth): User unknown
Jul 07 20:17:20 sshd-session[101453]: pam_systemd_home(sshd:auth): New sd-bus connection (system-bus-pam-systemd-home-101453) opened.
Jul 07 20:17:20 sshd-session[101453]: pam_unix(sshd:auth): check pass; user unknown
Jul 07 20:17:20 sshd-session[101453]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=43.153.171.66

to se mi taky zrovna moc nelíbí. A vypnout logování sshd úplně, aby byl člověk hluchý a slepý? To filtrování paketů firewalem myslím nezatěžuje systém víc jak ten spam v logu.

[X]

Vidim dobre, ze mas povolene prihlasovsni heslem na portu 22 ? WTF? Dej si tam cerifikat, a vydoky port, nebo to rovnou soupni za wireguard a a na nejaky fail2ban se uplne vykasli..

[jejda]

Jo mám heslo, ale klíče používám taky. Občas se přihlašuju ze strojů kde ty klíče nemám, tak je heslo potřeba. To heslo není zas úplně jednoduché. Když má útočník jenom tři pokusy za týden tak je bez šance myslím.

[…]

heslo je v pohode, pokud mas jistotu, ze tam nikde neni zadny slaby, neni problem… je dost naser nemoznost zasahnout bo u sebe zrovna nemam klic :D ale vysokej port, co v sobe idealne nema cislo 22 vubec, je docela jistota a f2b pak nema zadnou praci a v logu je klid…

[pavele]

Heslo není v pohodě, protože umožňuje útok man-in-the-middle.

[...]

overeni fingerprintu serveru je jeste pred zadanim hesla, wanna try that again? kdyz opozici k heslum, tak aspon at sedi, prosim

[chinook]

Když jsme u toho hesla. Taky většinou používám jen klíče, ale mám i servery z důvodu připojení pokud u sebe nemám klíče. Povolen přístup přes heslo rovnou k root uživateli.

Nevidím v tom žádné riziko. Uvažuji správně? Přijde mně zbytečné zadávat heslo pro uživatele a pak ještě pro roota. Předpokladem je, samozřejmě mít silné heslo.

[jejda]

A fail2ban tam máš? Já bych si povolit vzdálený login heslem na roota bez fail2ban teda netroufl. Mám to tak, že root může přes ssh jenom klíčem a když jako obyčejný uživatel potřebuju vyšší pravomoc tak používám sudo -i

[chinook]

failban nemám, nadruhou stranu, je to 108bitové heslo. Klidně bych dal silnější, ale keepass to tak v defaultu generuje, tak to tak používám.

Jaký je rozdíl, se přihlásit jako root nebo obyčejný uživatel a pak pod tím stejným userem zadat sudo a použít to stejné heslo? Pokud utočník už jednou to heslo prolomil?

Bezpečnější bych viděl, se přihlásit pod nějakým userem a pak přes su pod rootem a zadat root heslo. Asi by to vyloučilo strojové prolemení root hesla. Což bez failbanu by asi teoreticky jít mohlo, pokud se lze hlásit přímo na roota. To pak záleží na síle hesla.

[jejda]

Když útočník prolomí heslo userovi který může používat sudo, je to v prdeli. Jde o to, že ten login heslem by měla být taková zoufalá nouzovka. Proč to útočníkovi usnadňovat tím, že nemusí hádat taky username? root je všude. Když tak nad tím přemýšlím, tak jediný důvod proč mám vůbec roota přes ssh povoleného je ten, když potřebuju vzdáleně mountnout kompletní filesystém. Všecko ostatní se dá pořešit přes sudo.

[chinook]

to mě nenapadlo s tím rootem a userem.

Právě taky přemýšlím, že vypnu přihlašování pod rootem všude. Snažím se mít furt někde stroj, kde mám klíče na přihlášení a muselo by se vysrat dost věcí, abych potřeboval použít heslo.

Ale už se mně stalo tolik věcí, které mě ani nenapadly, že to prostě zatím vypnout nechci, tak přemýšlím nad bezp. riziky.

Heslo můžu mít v pohodě uložené v telefonu. S klíčem to je už horší. Tel. mám vždy u sebe. Nebo je nějaký nápad mít nějak bezpečně uložené klíče?

Zkoušel jsem yubikey, ale přes windows to uplně nativně nechodí. Nebo jsem to nějak nepochopil :(

[chinook]

IMHO kdyz to chces hrotit smerem k dokonalosti, ma smysl se zamyslet nad jednim (nebo nekolika malo) dobre udrzovanymi bounce-hosty, kam se tim heslem dostanes, aby to bylo nekde, kde tomu muzes verit a muzes si tam nechat klice k ostatnim vecem, kde muzes mit prihlaseni jen klicem... pak se da vymyslet treba port-knocking, aby to SSH bylo videt, jenom kdyz spravne zatukas necim dalsim; muzes taky ty dalsi masiny ofirewallovat, aby se tam nedalo pripojit odjinud, nez z tech bounce-hostu... zalezi asi, jak moc si chces hrat :)

HW klicenky mam v planu vyzkouset a asi je nakonec taky u nas v tymu zavedeme, protoze pro handling pristupu skrz ne bude jednodussi pripravit materialy pro ISO certifikace, nez nekomu vysvetlovat, ze hesla fakt nejsou takovej problem, _pokud_ si do tymu clovek nenabere lemply...

[...]

fail2ban je zbytecnej, _pokud_ mas takhle silny heslo, ktery nikde neleaknulo, atd... musis si tim heslem proste bejt jistej - pokud je admin toho systemu prave presne 1.0 kusu, tak se to da zaridit dost snadno, staci "nebejt debil" :D horsi to samozrejme je v sdilenych prostredich, ale to tady neni ten pripad, ne... @ to drama z neuspesnych pokusu v logach... na co to jako vubec logovat? dulezity jsou preci uspesny pokusy a idealne zalogovany tak, aby to smazat neslo (kdyz uz to teda chces hrotit, tak treba at to proste posle mail pri kazdym loginu, nebo se da posilat na remote syslog server, nebo tak neco)

@ sudo, s tim, kolik to melo historicky CVEs, zase proste, nejjistejsi varianta je nemit ho v systemu vubec, nez aby se muselo resit, ktera komponenta ho muze jak spustit a jak se do ni da stouchnout z venku, aby z toho byl hned remote root...

[Max]

fail2ban ti u malých nasazení může ušetřit zdroje a trochu eliminovat hnůj v lokgách.
Zdar Max

[...]

otazka pristupu, no, mne prijde fail2ban prilis braindead, kdyz uz hracky, co treba crowdsec?

[Andrej]

Opravdu si myslíš (a neděláš si legraci), že udržování seznamu pár adres je dražší než výpočty kolem asymetrické kryptografie, ke kterým jinak dochází při každém neúspěšném pokusu o přihlášení?

To byl asi jenom takový žert, že jo! (Jinak si to nelze vysvětlit.)

Není náhodou lepší tu tunu ařiťmetiky přeskočit a zastavit připojení ještě v kernelu v nftables, než se jím bude vůbec zabývat SSH? Jinak přijde párkrát context-switch, pak nějaký fork(), pak spousta OpenSSL výpočtů (které obvykle nejsou „akcelerované“, na rozdíl od symetrické kryptografie u již navázaného spojení) — a to všechno jenom proto, aby se zjistilo, že druhá strana nemá přístup… Kopnout druhou stranu do prdele!

[…]

ty jsi jdi sudlat to svoje dokonaly btrfs na tech svejch par idle masinach, nikdo se te na nic neptal

[Andrej]

Jak tě sere, že (jako vždy) nemáš pravdu, to je jednoduše k nezaplacení.

Jen se dál zoufale, beznadějně a bezmocně zlob. Musí být těžké věcem tolik nerozumět, což?

Hádej, jak moc mě zajímá, jestli se mě nějaký náhodný anonymní idiot na něco ptal nebo ne. Uhádneš?

[…]

krasna projekce, krasny kdyz mi takovyhle pero z gauce pripisuje jakoukoliv emoci :D sak ty prave sam jsi pres ten svuj gejzir toho co tady predvadis neschopnej cehokoliv jinyho, nez akorat projekci :D si tady ty svoje blitky projdi zpetne, ty lolku :D

[Andrej]

To↑↑↑ je ale výstavní exemplář, hele!

Ten zoufalý vztek je prostě skvělé zpestření jinak nudných vláken — jen tak dál!

[...]

ty mas neco s hlavou? jedinej vztek, co tu vidim, je tvuj ja jsem napriklad nepouzil jedinej vykricnik, to ty tvoje prispevky jsou vykrik a btw, zas projekce, vnimas? nevnimas, co? neni kapacita, evidentne dobre tady mezi ty retardy zapadas

Je nutné, abyste ty nebo tvoji nejbližší okamžitě volali 284-016-111 nebo 284-016-110. Tvůj zdravotní stav to nezbytně vyžaduje.

[...]

zase projekce, jo? krom toho, ze jsi dement, jsi jeste aj nudnej dement...