Zabezpieczenie przed skanowaniem FTP

Pewnego pięknego dnia pewien gostek zapuścił skaner, który przez godzinę usiłował się zalogować na następujące loginy:

access, account, admin, Administrator, backup, data, demo, ftproot, guest, local, master, oper, server, sysadm, system, test, user, web, webmaster, www

Logi urosły mi ponad 600 kilo! Potem się tłumaczył swojemu providerowi, że mu się włamano na serwer...

Aby uniknąć generowania tak dużych logów systemowych warto zastosować tu moduł iptables o nazwie ipt_recent:

modprobe ipt_recent ip_list_tot=32
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m recent --name FTP --seconds 60 --update -j DROP
iptables -A INPUT -p tcp --dport 21 -m limit --limit 5/second --limit-burst 15 -m recent --name FTP --set -j ACCEPT

A teraz legenda:
ip_list_tot to ilość wpisów (numerów IP) na czarnej liście.
--seconds 60 oznacza, że "ban" będzie aktywny przez 60 sekund

W połączeniu z wpisem do /etc/proftpd.conf:

MaxLoginAttempts 1

który powoduje rozłączenie już po pierwszej próbie nieudanego logowania, jest to dość fajne narzędzie.

Uwaga: jeżeli gostek dostanie bana i będzie się usiłował ponownie zalogować w 59 sekundzie - czas jest liczony od nowa.

Można też zabezpieczyć w ten sposób ssh - w pliku /etc/ssh/sshd_config dodajemy:

MaxAuthTries 1

a w regułkach iptablesów zmieniamy port. Ja mam przeniesione ssh na inny port - nie chciało mi się oglądać w logach prób wejścia z użyciem brute-ssh.

Komentarze: