আমি একটি ল্যাম্প সার্ভার স্থাপন করছি এবং এসএসএইচ / এফটিপি / ইত্যাদি প্রতিরোধ করা দরকার। বর্বর-শক্তি লগন সফল হওয়ার চেষ্টা করে। আমি অস্বীকারকারী এবং ব্যর্থ 2 বন উভয়ের জন্য অনেকগুলি সুপারিশ দেখেছি, তবে দুজনের তুলনায় কয়েকটি কম few আমি আরও পড়েছি যে একটি আইপিটিবেলস নিয়ম একই ফাংশনটি পূরণ করতে পারে।
আমি কেন এই পদ্ধতির একটি অন্যটির চেয়ে বেছে নেব? সার্ভারফল্টে থাকা লোকেরা কীভাবে এই সমস্যাটি পরিচালনা করে?
উত্তর:
আইআইআরসি, ড্যানিহোস্টগুলি কেবলমাত্র আপনার এসএসএইচ পরিষেবাটি দেখবে। অন্যান্য পরিষেবাদিও সুরক্ষিত করার জন্য আপনার যদি এটির প্রয়োজন হয় তবে ফেইল 2ban অবশ্যই আরও ভাল পছন্দ। আপনি যদি এটির কনফিগারেশনটি টুইঙ্ক করতে ইচ্ছুক হন তবে প্রায় কোনও পরিষেবা দেখার জন্য এটি কনফিগারযোগ্য, তবে এটি প্রয়োজনীয় হবে না কারণ ফেইলব্যাবের নতুন সংস্করণগুলিতে রুলসেটগুলি অন্তর্ভুক্ত রয়েছে যা অনেক জনপ্রিয় সার্ভার ডেমনগুলির জন্য উপযুক্ত। কোনও সাধারণ iptables রেট সীমাতে ব্যর্থ 2ban ব্যবহার করার ফলে কোনও আক্রমণকারীকে নির্দিষ্ট সময়ের জন্য সম্পূর্ণরূপে অবরুদ্ধ করার সুবিধা রয়েছে, কেবলমাত্র সে আপনার সার্ভারটি কতটা দ্রুত হাতুড়ি করতে পারে তা হ্রাস করার পরিবর্তে। আমি বেশ কয়েকটি প্রোডাকশন সার্ভারগুলিতে দুর্দান্ত ফলাফল সহ ফেলফল 2 ব্যবহার করেছি এবং যেহেতু আমি এটি ব্যবহার শুরু করেছি তখন থেকে সেগুলির মধ্যে একটিও বর্বর বাহিনীর আক্রমণে ভঙ্গ হয়নি seen
তাদের প্রথমে আপনার মেশিনে উঠতে দেবেন না! আপনার হোস্টের কাছে যাওয়ার আগে বা এসএসএইচ স্তরে জোরপূর্বক প্রচেষ্টা বন্ধ করার প্রচুর উপায় রয়েছে।
এই বলে যে, ব্যর্থ 2ban এর মতো আপনার অপারেটিং সিস্টেমটিকে সুরক্ষা দেওয়া একটি দুর্দান্ত ধারণা। Fail2ban DenyHosts এর থেকে কিছুটা আলাদা, যদিও তারা একই জায়গায় খেলে। Fail2ban iptables ব্যবহার করে।
http://en.wikipedia.org/wiki/Fail2ban
Fail2ban DenyHosts এর অনুরূপ ... তবে DenyHosts এর বিপরীতে যা এসএসএইচ-তে দৃষ্টি নিবদ্ধ করে, ব্যর্থ2ban কোনও লগ ফাইলের জন্য লগইন প্রচেষ্টা লেখার যে কোনও পরিষেবা নিরীক্ষণ করার জন্য এবং /etc/hosts.deny পরিবর্তে কেবল আইপি ঠিকানা / হোস্ট ব্লক করতে কনফিগার করা যেতে পারে , ব্যর্থ 2ban নেটফিল্টার / iptables এবং টিসিপি র্যাপার্স /etc/hosts.deny ব্যবহার করতে পারে।
ব্রুট ফোর্স লগইনগুলি রোধে সহায়তা করার জন্য আপনার অনেকগুলি গুরুত্বপূর্ণ সুরক্ষা কৌশল বিবেচনা করা উচিত:
SSH- র:
অ্যাপ্লিকেশন:
আমি একই আইপি ঠিকানা থেকে নতুন সংযোগগুলি রেট-সীমাবদ্ধ করার জন্য আইপটবেবল বিধিগুলি ব্যবহার করি (এসএসএইচ মূলত, তবে এটি এফটিপি-তেও কার্যকর কাজ করবে)। সুবিধাটি যেমনটি আমি দেখতে পেয়েছি, "ফেলফল 2" এবং এই জাতীয় অন্যান্য সরঞ্জামগুলির ওপরে এটি হ'ল iptables রুটটি সম্পূর্ণ কার্নেল মোডে ঘটে এবং লগ ফাইলগুলি লেজ / পার্স করার জন্য কোনও ব্যবহারকারী মোড সরঞ্জামগুলিতে নির্ভর করে না।
আপনি যদি এটি করতে পারেন তবে উত্সের ঠিকানাগুলিকে সীমাবদ্ধ করা যা প্রশ্নে প্রোটোকলগুলি অ্যাক্সেস করতে পারে, স্পষ্টতই, পাশাপাশি সহায়তা করবে।
এসএসএইচ সহ আপনার সত্যিকারের শংসাপত্র প্রমাণীকরণ ব্যবহার করা উচিত এবং কোনওভাবে পাসওয়ার্ড গ্রহণ করা উচিত নয়।
এসএসএইচ রক্ষার জন্য অন্য কোন দুর্দান্ত উপায় (আমি এটি এক দশক বা তারও বেশি সময় ধরে ব্যবহার করেছি) iptables এ সাম্প্রতিক গ্রন্থাগারগুলি স্থানীয়ভাবে ব্যবহার করা (আপনার ডিসট্রোর উপর নির্ভর করে)।
মূলত এটি iptables মধ্যে অন্তর্নির্মিত thats পোর্ট হিসাবে নকশা হিসাবে ব্যবহার করা যেতে পারে। এটি আপনাকে প্রচুর মাথাব্যাথা বাঁচায়। যতক্ষণ আপনি টিসিপি সংযোগ করতে পারবেন (টেলনেট একটি উপায় I আমি এসএসএস ক্লায়েন্ট ব্যবহার করেছি এবং সেগুলি বন্দরে দেখিয়েছি Any যে কোনও কিছু যা নির্দিষ্ট বন্দর নম্বরটিতে টিসিপি সংযোগ করবে I'm ক্লায়েন্ট ssh সংযোগ শুরু করে আপনি এটি ব্যবহার করতে পারেন।
নীচে একটি উদাহরণ রয়েছে যা আপনার হোস্টের কাছে iptables ওপেন পোর্ট 22 থাকবে যখন আপনি আপনার হোস্ট থেকে 4103 পোর্টের সার্ভারে টেলনেট করবেন then তারপরে সেড ওপেনিং বন্ধ করতে আপনি 4102 বা 4104 পোর্টে একটি টেলনেট ব্যবহার করতে পারেন। 4102 এবং 4104 উভয়ের কারণ হ'ল 22 টি খোলার থেকে একটি সহজ টিসিপি স্ক্যান রাখা। 4103 পোর্টে কেবল একটি টিসিপি কানেক্ট (টেলনেট) আপনাকে অনুমতি দেবে।
উপভোগ করুন!
ওহ এবং আমি ফেইল 2 ব্যানের পক্ষে আছি। আরও নমনীয়তা এবং আমি পছন্দ করি যে নিষেধাজ্ঞা টিসিপিওয়ালার্সের পরিবর্তে আইপিটিবেলে ঘটে।
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -m recent --rcheck --name SSH -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4102 -m recent --name SSH --remove -j DROP
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4103 -m recent --name SSH --set -j DROP
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 4104 -m recent --name SSH --remove -j DROP
Fail2ban এবং Denyhosts এর মধ্যে আর একটি পার্থক্য হ'ল Denyhosts অন্যান্য Denyhosts ব্যবহারকারীদের সাথে ব্লক তালিকা ভাগ করতে পারে। Fail2ban এর সাহায্যে আপনি কেবলমাত্র আপনার সার্ভারের দেখা আইপিগুলিকেই ব্লক করতে পারবেন - ড্যানিহোস্টসের সাথে, অন্য কেউ যদি এটি দেখে থাকে এবং আপনার সার্ভারের কাছে ব্লক তালিকাটি আপনার সার্ভারে নাও পেতে পারে এবং আক্রমণকারীর আগে ব্লক তালিকাটি আপনার সার্ভারে ডাউনলোড হয় only আপনার কম্পিউটারে যায়।
তবুও অন্য পার্থক্যটি হ'ল ফেলাইল 2 ইপিটেবলগুলি ব্যবহার করে, অন্যদিকে ড্যানিহোস্টস টিসিপিওয়্যার্পার ব্যবহার করে। অন্যরা এই পার্থক্যের কথা আগেও উল্লেখ করেছেন, তবে কয়েকটি দিকের উল্লেখযোগ্য নোট রয়েছে।
আপনি কতটা আইপি অ্যাড্রেসকে দক্ষতার সাথে ব্লক করতে পারবেন তাতে আইপিটিবেলেস সীমাবদ্ধ। এটি সম্ভবত কারণগুলির মধ্যে একটি কারণ Fail2ban ব্লক তালিকাগুলি ভাগ করে নেওয়ার ব্যবস্থা রাখে না।
আরেকটি প্রভাব হ'ল iptables যখন nftables এর সাথে প্রতিস্থাপন করা হবে তখন Fail2ban সম্ভবত কাজ করা বন্ধ করবে বা আবার লিখতে হবে। অস্বীকারকারীরা সম্ভবত কাজ চালিয়ে যাবে।
সুতরাং, উভয়েরই সুবিধাগুলি এবং ঘাটতি রয়েছে। আমার দুটোই পছন্দ; নিজের জন্য, আমি ডিনিহোস্টগুলি ব্যবহার করছি কারণ সাধারণত আমি কেবল এসএসএইচ রক্ষা করতে চাই এবং আমি ব্লক তালিকাটি ভাগ করে নেওয়া পছন্দ করি।
Fail2Ban সম্পর্কে একটি বিষয় লক্ষণীয় যে এটি DenyHosts এর চেয়ে 10MB বেশি মেমরি ব্যবহার করে বলে মনে হচ্ছে। সুতরাং আপনি যদি 128MB ভিপিএসে থাকেন তবে আপনি এটি সন্ধান করতে পারেন। এছাড়াও, অফ-অফ-বাক্স ফেলফল 2 কেবল এসএসএইচে সেটআপ করা হয়েছে যার অর্থ কনফিগারেশনের কোনও পরিবর্তন ছাড়াই - ড্যানিহোস্টগুলি কম স্মৃতিতে একই কাজ করে।
অস্বীকৃতিগুলি ssh এর জন্য। ব্যর্থ 2ban আরও বিস্তৃত (HTTP, FTP, ইত্যাদি)। উভয়ই পর্দার আড়ালে iptables ব্যবহার করে।
ক্লান্তিকর iptables বা ফেল22 কনফিগারেশনের সাথে গোলযোগ না করে, উন্মুক্ত সম্প্রদায়টি আপনার জন্য সমস্ত কাজ করে না কেন এবং পরিবর্তে সিএসএফ / এলএফডি ব্যবহার করবে না? আমি এটি উল্লেখযোগ্য অন্যান্য সমস্ত বিকল্পের চেয়ে উচ্চতর প্রস্তাব দিতে পারি। এটি আপনার সার্ভারগুলির জন্য কী করতে পারে তার জন্য http://configserver.com/cp/csf.html দেখুন । সিএসএফের একটি নিয়ন্ত্রণ প্যানেলের প্রয়োজন হয় না, এটি নিজেই একটি সাধারণ ইউআই সরবরাহ করে, যারা শেল দিয়ে এটি করতে চান না তাদের জন্য। এবং এটি প্রচুর স্থিতিশীল নির্ভরযোগ্য অনাবাসিক পার্ল-স্ক্রিপ্টিং।
ব্যর্থ2ban একটি সফল ssh লগইন সনাক্তকরণ এবং এর ব্যর্থতার গণনা পুনরায় সেট করার জন্য কোনও ব্যবস্থা আছে বলে মনে হয় না।
Sshd- এর স্ট্যান্ডার্ড ফিল্টার (কমপক্ষে আমার ডেবিয়ান ইনস্টলের উপরে), ক্লায়েন্ট সার্ভারটি প্রত্যাখ্যান করে এমন প্রতিটি এসএস কী-এর জন্য একটি ব্যর্থতা গণনা আটকে রাখে। কিছু ব্যবহারকারী প্রতিটি লগইনে অনেকগুলি কী উপস্থাপন করে এবং নিয়মিতভাবে লক আউট হয়ে যায়, একবারে কয়েকটি কীগুলি পাস করার পরে তাদের লগইনগুলি সফল হয়ে যায় successful
উপরের ফলস্বরূপ, আমি বর্তমানে ব্যর্থ 2 বন থেকে সরে যাওয়ার বিষয়ে ভাবছি। এই ক্ষেত্রে কমপক্ষে, অস্বীকারকারীগুলি আরও ভাল। তবে, সম্ভবত এটি আর ভাল বিকল্প নয়, এবং ডেবিয়ানের আরও সাম্প্রতিক সংস্করণগুলিতে আর সমর্থিত নয় ( https://www.chrissearle.org/2015/06/16/replacing-denyhosts-with-fail2ban-for- এ কিছু আলোচনা ডেবিয়ান / )
আমার এখানে ভাল সমাধান নেই।
আসলে, আমি মনে করি অস্বীকারহোস্ট এসএসডি সার্ভিস ছাড়াও আরও অনেক পরিষেবা রোধ করতে সক্ষম। এর কনফিগার ফাইলটিতে - /etc/denyhosts.confকোডের কিছু লাইন রয়েছে বলেছে:
# BLOCK_SERVICE: the service name that should be blocked in HOSTS_DENY
#
# man 5 hosts_access for details
#
# eg. sshd: 127.0.0.1 # will block sshd logins from 127.0.0.1
#
# To block all services for the offending host:
BLOCK_SERVICE = ALL
# To block only sshd:
# BLOCK_SERVICE = sshd
সুতরাং আমরা যদি BLOCK_SERVICEভেরিয়েবলকে ALLউপরে হিসাবে সেট করে রাখি তবে আমরা আমাদের এসএসএস পরিষেবাটি দেখতে পারি।
Denyhosts সংস্করণ 3.0.০: প্রতিবার কোনও আইপি ঠিকানা কোনও লগ ফাইলে উপস্থিত হওয়ার সাথে সাথে ড্যানিহোস্টগুলি স্বাগত.দেনী ফাইলটি খোলে এবং ঠিকানার সাথে মেলে পুরো জিনিসটি পড়ে। প্রত্যেকবার. স্মৃতিতে কিছুই ক্যাশে হয় না। যদি আপনার কাছে বিশাল হোস্ট.ডেনী ফাইল থাকে এবং অনেকগুলি প্রোবের (অনেক লগ ফাইল এন্ট্রি) সাপেক্ষে, ড্যানিহোস্টগুলি উপস্থিত প্রতিটি আইপি ঠিকানার জন্য হোস্ট.ডেনি ফাইলটি পুনরায় পড়ার জন্য এবং সিপিইউ হগ হয়ে যায়। ভাল না.
আপনি iptables সমর্থন সক্ষম করে থাকলে, Denyhosts ব্লক করা আইপি অ্যাড্রেসের বিশাল, ধীর তালিকা তৈরি করবে। ডিএনহোস্টগুলি দক্ষ আইপি মানচিত্র তৈরি করতে আইপসেট বা এনফটেবল ব্যবহার করে না।