Versão Imprimível
Aeee galera. Estava eu dando uma olhada nos logs do meu firewall e me deparo com a seguinte situação. Alguem tentou acessar por ssh de um determinado ip usando trocentos usuários diferentes. O cabra deve ter deixado um sript que sai tentando os users de uma wordlist.
O que eu queria saber eh se tem como eu determinar quantas tentativas um ip pode tentar acessar por ssh o meu server sem conseguir entrar e se utrapassar eu barro totalmente este determinado ip.
aqui eu mudei a porta padrao do ssh e estas porcarias pararam de apurrinhar.
mudando a porta funciona.
mas o ideal é o snort + guardian
Também é legal, eu uso PasswordAuthentication no, isso força o login só ser possivel para usuários que tenham um certificado válido.
[]s,
legal essa dica!
com PasswordAuthentication no
quando pedir o login do usuário e digitar errado cai fora já ?
chega a gravar em log ?
Mas eu gostaria de colocar um número de tentativa. Tipo: depois de 5 tentativas erradas ele bloqueia o ip. Algo assim. E lógico tem de ir para log.(mas isso jah eh natural)
tem 2 maneiras, vc adicionando o conlimit no seu fw, ou snort +guardianCitação:
Postado originalmente por White_Tiger
no conf do snort vc pode definir isso,
abraço
Como faço para fazer o conlimit?Citação:
Postado originalmente por Brenno
faça um script que leia os logs do teu firewall e após acusar x tentativas erradas do mesmo ip ele bloqueia via iptables...
to vendo isto nos meus fw tb..
alem de trocar de porta, eu nao deixo aberto pra todo ip, soh para os meus
já tentei fz o certificado pra conectar via ssh, ao inves de senha, mas tb nao consegui
o problema destes ataques eh q o servidor fica lento q doi
Legal a idéia do script para analisar os logs!
Uma maneira original de se solucionar o problema, no mais puro estilo Perl, Sempre há mais de uma maneira de se fazer o q se quer fazer
:D
Cara, vc teve boas dicas, mas se quiser ainda colocar um IDS irá cair tb como luvas no q vc quer. Há IDS que identificam o IP, na falha no login, ele pode barrar aquele IP por algum tempo, na insistencia barrará por mais tempo e depois pode chegar a bloquea-lo, vai depender da sua confg. Procure IDS diacordo com sua distro.
deve ser falta de experiência da minha parte, mas o snort + pigmeat não tá me satisfazendo cara, tá dando muito falso positivo.Citação:
Postado originalmente por DarkPrince
que IDS vc recomenda pra fz isto q vc disse, de identificar falhas no login ?
Citação:
Postado originalmente por whinston
Ola, como faço pra colocar a classe de IP, isso é pra liberar so pro meus IP