ฉันกำลังตั้งค่าเซิร์ฟเวอร์ LAMP และจำเป็นต้องป้องกัน SSH / FTP / ฯลฯ ความพยายามในการเข้าสู่ระบบแบบ brute-force ไม่สำเร็จ ฉันเห็นคำแนะนำมากมายสำหรับทั้ง denyhosts และ fail2ban แต่มีการเปรียบเทียบสองอย่างน้อย ฉันยังอ่านว่ากฎ IPTables สามารถเติมฟังก์ชันเดียวกันได้
ทำไมฉันถึงเลือกหนึ่งในวิธีการเหล่านี้กับอีกวิธีหนึ่ง? ผู้คนใน serverfault จัดการกับปัญหานี้ได้อย่างไร
คำตอบ:
IIRC, DenyHosts จะคอยดูบริการ SSH ของคุณเท่านั้น หากคุณต้องการมันเพื่อปกป้องบริการอื่น ๆ เช่นกัน Fail2ban เป็นตัวเลือกที่ดีกว่า มันสามารถกำหนดค่าให้รับชมได้เกือบทุกบริการหากคุณเต็มใจที่จะปรับแต่งการกำหนดค่า แต่ไม่ควรจำเป็นเนื่องจาก Fail2ban เวอร์ชันใหม่กว่านี้มีชุดกฎที่เหมาะสำหรับ daemons เซิร์ฟเวอร์ยอดนิยมจำนวนมาก การใช้ fail2ban ผ่านขีด จำกัด อัตรา iptables ง่าย ๆ มีข้อได้เปรียบในการบล็อกผู้โจมตีอย่างสมบูรณ์ตามระยะเวลาที่กำหนดแทนที่จะลดความรวดเร็วในการตอกเซิร์ฟเวอร์ของคุณ ฉันใช้ fail2ban กับผลลัพธ์ที่ยอดเยี่ยมกับเซิร์ฟเวอร์ที่ใช้งานจริงจำนวนหนึ่งและไม่เคยเห็นหนึ่งในเซิร์ฟเวอร์เหล่านั้นที่ถูกโจมตีอย่างดุเดือดตั้งแต่ฉันเริ่มใช้มัน
อย่าปล่อยให้พวกเขาไปที่เครื่องของคุณตั้งแต่แรก! มีหลายวิธีในการหยุดการพยายามเดรัจฉานกำลังก่อนที่จะไปยังโฮสต์ของคุณหรือแม้แต่ในระดับ SSH
ต้องบอกว่าการปกป้องระบบปฏิบัติการของคุณด้วยบางอย่างเช่น fail2ban เป็นความคิดที่ดี Fail2ban นั้นแตกต่างจาก DenyHosts เล็กน้อยแม้ว่าพวกเขาจะเล่นในพื้นที่เดียวกัน Fail2ban ใช้ iptables
http://en.wikipedia.org/wiki/Fail2ban
Fail2ban คล้ายกับ DenyHosts ... แต่ต่างจาก DenyHosts ที่เน้น SSH, fail2ban สามารถกำหนดค่าเพื่อตรวจสอบบริการใด ๆ ที่เขียนความพยายามในการเข้าสู่ระบบไปยังไฟล์บันทึกและแทนที่จะใช้ /etc/hosts.deny เพื่อบล็อกที่อยู่ IP / โฮสต์ , fail2ban สามารถใช้ Netfilter / iptables และ TCP Wrappers /etc/hosts.deny
มีหลายเทคนิคการรักษาความปลอดภัยที่สำคัญที่คุณควรพิจารณาเพื่อช่วยป้องกันการเข้าสู่ระบบกำลังดุร้าย:
SSH:
การประยุกต์ใช้:
ฉันใช้กฎ iptables เพื่อ จำกัด อัตราการเชื่อมต่อใหม่จากที่อยู่ IP เดียวกัน (ส่วนใหญ่เป็น SSH แต่ก็ใช้ได้ดีสำหรับ FTP ด้วย) ข้อได้เปรียบดังที่ฉันเห็นมันมีอยู่เหนือ "fail2ban" และเครื่องมืออื่น ๆ คือเส้นทาง iptables นั้นเกิดขึ้นอย่างสมบูรณ์ในโหมดเคอร์เนลและไม่พึ่งพาเครื่องมือโหมดผู้ใช้ใด ๆ
การเข้าสู่ระบบ ssh ล้มเหลวหลายร้อยรายการ
หากคุณสามารถทำได้การ จำกัด ที่อยู่แหล่งที่สามารถเข้าถึงกลุ่มผู้ประท้วงที่เป็นปัญหาจะช่วยได้เช่นกัน
ด้วย SSH คุณควรใช้การรับรองความถูกต้องของใบรับรองและไม่ยอมรับรหัสผ่านอยู่ดี
อีกวิธีที่ดีในการปกป้อง SSH (ฉันใช้สิ่งนี้มาสิบปีหรือมากกว่า) คือการใช้ไลบรารี่ล่าสุดใน iptables โดยกำเนิด (ขึ้นอยู่กับ distro ของคุณ)
โดยทั่วไปสามารถใช้เป็นพอร์ตเคาะที่สร้างขึ้นใน iptables นี่จะช่วยให้คุณปวดหัวมาก ๆ ตราบใดที่คุณสามารถเชื่อมต่อ tcp (telnet เป็นวิธีหนึ่งฉันยังใช้ไคลเอ็นต์ ssh และชี้ไปที่พอร์ตสิ่งใดก็ตามที่จะทำการเชื่อมต่อ tcp กับหมายเลขพอร์ตที่ระบุฉันกำลังดูคุณ Putty!) ลูกค้าเริ่มต้นการเชื่อมต่อ ssh คุณสามารถใช้สิ่งนี้
ด้านล่างเป็นตัวอย่างที่จะให้ iptables เปิดพอร์ต 22 ไปยังโฮสต์ของคุณเมื่อคุณ telnet จากโฮสต์ของคุณไปยังเซิร์ฟเวอร์ที่พอร์ต 4103 จากนั้นคุณสามารถใช้ telnet ไปยังพอร์ต 4102 หรือ 4104 เพื่อปิดการเปิด sed เหตุผลที่ทั้ง 4102 และ 4104 นั้นคือการป้องกันการสแกน tcp อย่างง่ายจากการเปิด 22 เพียงแค่การเชื่อมต่อ tcp (telnet) ถึงพอร์ต 4103 เท่านั้นที่จะช่วยให้คุณเข้าได้
สนุก!
โอ้และฉันชอบ Fail2Ban ความยืดหยุ่นมากขึ้นและฉันชอบที่การห้ามเกิดขึ้นใน iptables มากกว่า tcpwrappers
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -m recent --rcheck --name SSH -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4102 -m recent --name SSH --remove -j DROP
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4103 -m recent --name SSH --set -j DROP
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4104 -m recent --name SSH --remove -j DROP
ข้อแตกต่างระหว่าง Fail2ban และ Denyhosts ก็คือ Denyhosts สามารถแชร์รายการบล็อกกับผู้ใช้ Denyhosts รายอื่นได้ ด้วย Fail2ban คุณสามารถบล็อกเฉพาะ IP ที่เซิร์ฟเวอร์ของคุณเคยเห็นมาก่อน - ด้วย Denyhosts ความพยายามที่ดุร้ายอาจไม่เคยไปถึงเซิร์ฟเวอร์ของคุณหากมีคนอื่นเห็นและรายการบล็อกถูกดาวน์โหลดไปยังเซิร์ฟเวอร์ของคุณก่อนผู้โจมตี ถึงคอมพิวเตอร์ของคุณ
อีกข้อแตกต่างคือ Fail2ban ใช้ iptables ในขณะที่ Denyhosts ใช้ tcpwrappers คนอื่น ๆ ได้พูดถึงความแตกต่างนี้มาก่อน แต่มีบันทึกสองด้านที่ควรค่าแก่การกล่าวขวัญ
iptables ถูก จำกัด จำนวน IP ที่คุณสามารถบล็อกได้อย่างมีประสิทธิภาพ นั่นอาจเป็นสาเหตุหนึ่งที่ทำให้ Fail2ban ไม่มีกลไกในการแชร์รายการบล็อก
ผลอีกอย่างคือเมื่อ iptables ถูกแทนที่ด้วย nftables Fail2ban อาจหยุดทำงานหรือต้องเขียนใหม่ Denyhosts จะทำงานต่อไป
ดังนั้นทั้งสองมีข้อดีและข้อเสีย ฉันชอบทั้งคู่; สำหรับตัวฉันเองฉันใช้ Denyhosts เพราะโดยปกติฉันต้องการปกป้อง SSH เท่านั้นและฉันชอบแบ่งปันรายการบล็อก
สิ่งหนึ่งที่ควรทราบเกี่ยวกับ Fail2Ban ก็คือดูเหมือนว่าจะใช้หน่วยความจำมากกว่า DenyHosts ประมาณ 10MB ดังนั้นหากคุณใช้ VPS ขนาด 128 เมกะไบต์คุณอาจต้องการตรวจสอบสิ่งนั้น นอกจากนี้ fail2ban แบบ out-of-the-box fail2ban เท่านั้นที่ติดตั้งบน SSH ซึ่งหมายความว่าไม่มีการเปลี่ยนแปลงการตั้งค่า - DenyHosts ทำสิ่งเดียวกันในหน่วยความจำน้อย
denyhosts สำหรับ ssh fail2ban นั้นมีความครอบคลุมมากกว่า (HTTP, FTP และอื่น ๆ ) ทั้งสองใช้ iptables เบื้องหลัง
แทนที่จะยุ่งกับ iptables ที่น่าเบื่อหรือการกำหนดค่า fail2ban ทำไมชุมชนเปิดไม่ทำงานทั้งหมดให้คุณและใช้ CSF / LFD แทน? ฉันขอแนะนำได้เหนือตัวเลือกอื่น ๆ ที่กล่าวถึงทั้งหมด ดูhttp://configserver.com/cp/csf.htmlสำหรับสิ่งที่เซิร์ฟเวอร์ของคุณสามารถทำได้ CSF ไม่ต้องการแผงควบคุม แต่ก็มี UI ที่เรียบง่ายสำหรับผู้ที่ไม่ต้องการใช้เชลล์ และมันก็มีความน่าเชื่อถือแบบไม่ต้องอาศัย perl-scripting perl ที่น่าเชื่อถือ
fail2ban ดูเหมือนจะไม่มีกลไกในการจดจำล็อกอิน ssh ที่ประสบความสำเร็จและรีเซ็ตจำนวนครั้งของความล้มเหลว
ตัวกรองมาตรฐานสำหรับ sshd (อย่างน้อยในการติดตั้งเดเบียนของฉัน), นาฬิกานับความล้มเหลวสำหรับแต่ละคีย์ ssh ที่ลูกค้านำเสนอซึ่งเซิร์ฟเวอร์ปฏิเสธ ผู้ใช้บางคนนำเสนอคีย์จำนวนมากในการเข้าสู่ระบบทุกครั้งและถูกล็อคเป็นประจำแม้ว่าการเข้าสู่ระบบของพวกเขาจะประสบความสำเร็จเมื่อผ่านไปสองสามคีย์
จากที่กล่าวมาตอนนี้ฉันกำลังคิดที่จะย้ายออกจาก fail2ban ในแง่นี้อย่างน้อยที่สุด denyhosts ก็ดีกว่า อย่างไรก็ตามเห็นได้ชัดว่ามันไม่ใช่ตัวเลือกที่ดีอีกต่อไปและไม่ได้รับการสนับสนุนในเดเบียนเวอร์ชันใหม่ ๆ อีกต่อไป (การสนทนาบางอย่างที่https://www.chrissearle.org/2015/06/16/replacing-denyhosts-with-fail2ban-for- เดเบียน / )
ฉันไม่มีทางออกที่ดีที่นี่
ที่จริงแล้วฉันคิดว่า denyHost สามารถป้องกันบริการอื่น ๆ นอกเหนือจากบริการ sshd ได้ ในไฟล์กำหนดค่า - /etc/denyhosts.confมีบางบรรทัดของรหัสกล่าวว่า:
# BLOCK_SERVICE: the service name that should be blocked in HOSTS_DENY
#
# man 5 hosts_access for details
#
# eg. sshd: 127.0.0.1 # will block sshd logins from 127.0.0.1
#
# To block all services for the offending host:
BLOCK_SERVICE = ALL
# To block only sshd:
# BLOCK_SERVICE = sshd
ดังนั้นถ้าเราตั้งค่าBLOCK_SERVICEตัวแปรให้ALLเป็นข้างต้นเราสามารถดูบริการ ssh ของเรา
Denyhosts เวอร์ชั่น 3.0: ทุกครั้งที่มีที่อยู่ IP ปรากฏในล็อกไฟล์ Denyhosts จะเปิดไฟล์ hosts.deny และอ่านข้อมูลทั้งหมดเพื่อให้ตรงกับที่อยู่ ทุกเวลา. ไม่มีสิ่งใดถูกแคชในหน่วยความจำ หากคุณมีไฟล์ hosts.deny ขนาดใหญ่และอยู่ภายใต้โพรบหลายรายการ (รายการล็อกไฟล์จำนวนมาก) Denyhosts จะกลายเป็นซีพียูหมูอ่านและอ่านไฟล์ hosts.deny อีกครั้งสำหรับทุกที่อยู่ IP ที่ปรากฏขึ้น ไม่ดี.
หากคุณเปิดใช้งานการสนับสนุน iptables Denyhosts จะสร้างรายการที่อยู่ IP ที่ถูกบล็อกจำนวนมากช้า Denyhosts ไม่ได้ใช้ ipset หรือ nftables เพื่อสร้างแผนที่ IP ที่มีประสิทธิภาพ