প্রতি রাতে আমি আমার রেডহ্যাট 4 সার্ভারে শত শত, কখনও কখনও হাজার হাজার ব্যর্থ এসএসএস লগইন পাই। দূরবর্তী সাইটগুলি থেকে ফায়ারওয়াল কারণে, আমাকে স্ট্যান্ডার্ড পোর্টে চালানো দরকার। এটিকে অবরুদ্ধ করার জন্য আমার কিছু করা উচিত। আমি লক্ষ্য করেছি যে অনেকে একই আইপি ঠিকানা থেকে আসে। কিছুক্ষণ পরেই কি তাদের থামানো উচিত নয়?
উত্তর:
আপনি এসপিএইচ বন্দরে নতুন আগত সংযোগগুলিকে রেট-সীমাবদ্ধ করতে iptables ব্যবহার করতে পারেন। আপনাকে কানের কৌতুক সমাধান দেওয়ার জন্য আপনার সম্পূর্ণ আইপটিবল কনফিগারেশনটি দেখতে হবে তবে আপনি মূলত এই জাতীয় বিধি যুক্ত করার বিষয়ে কথা বলছেন:
iptables -A INPUT -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 5 --name SSH --rsource -j DROP
iptables -A INPUT -p tcp --dport 22 -m recent --set --name SSH --rsource -j ACCEPT
এই নিয়মগুলি ধরে নিয়েছে যে আপনি টেবিলের আগে ESTABLISHED সংযোগগুলি গ্রহণ করছেন (যাতে কেবল নতুন সংযোগগুলি এই নিয়মগুলিতে আঘাত করবে)। নতুন এসএসএইচ সংযোগগুলি এই নিয়মগুলিকে আঘাত করবে এবং চিহ্নিত করবে। 60 সেকেন্ডের মধ্যে, একটি আইপি ঠিকানা থেকে 5 টি প্রচেষ্টা এর ফলে সেই আইপি থেকে নতুন আগত সংযোগগুলি বাদ দেওয়া হবে।
এটি আমার পক্ষে ভাল কাজ করেছে।
সম্পাদনা: আমি এই পদ্ধতিটি "ফেলফল 2" এর চেয়ে বেশি পছন্দ করি কারণ কোনও অতিরিক্ত সফ্টওয়্যার ইনস্টল করা নেই এবং এটি সম্পূর্ণ কার্নেল-মোডে ঘটে। এটি "ব্যর্থ 2ban" উইলের মতো পার্সিং লগ ফাইলগুলি পরিচালনা করে না, তবে আপনার সমস্যাটি কেবল এসএসএইচ থাকলে আমি এমন কোনও ব্যবহারকারী-মোড ব্যবহার করব না যার জন্য সফ্টওয়্যার ইনস্টলেশন প্রয়োজন এবং এটি আরও জটিল complex
-m conditioniptables ম্যাচটি ব্যবহার করুন।
ব্যর্থতায় অনেক ব্যর্থ প্রচেষ্টা সহ আইপি অ্যাড্রেসগুলি ব্লক করে ব্যর্থ2 ban এটিকে সাহায্য করতে পারে।
আমি এসএসএইচের জন্য একটি অ-মানক বন্দর ব্যবহার করার পরামর্শ দিচ্ছি যদি আপনি (যেমন। পোর্ট 10222) করতে পারেন তবে যেহেতু আপনি উল্লেখ করেছেন আপনি এটি করতে পারবেন না আমি ডেনিহোস্টের মতো কিছু ব্যবহার করার পরামর্শ দিই।
http://denyhosts.sourceforge.net/
দুর্দান্ত প্যাকেজ, ইনস্টল এবং কনফিগার করা সহজ।
ইন্টারনেটে স্বেচ্ছাসেবী অবস্থানগুলি থেকে আপনার সিস্টেমে প্রবেশ করতে সক্ষম হতে পেরে ভাল লাগতে পারে, এমন একটি স্বয়ংক্রিয় পাসওয়ার্ড আক্রমণ সিস্টেম রয়েছে যা একটি খোলা এসএস পোর্টে লক করে আপনার সিস্টেমের বিরুদ্ধে বিভিন্ন জো অ্যাকাউন্ট এবং অভিধান আক্রমণ প্রয়োগ করবে। এটি আপনার রাতের লগের সারাংশে পড়তে বাড়তে পারে এবং এটি আপনার ব্যান্ডউইথের অপচয় waste
একই সিস্টেমে আপনার যদি একটি ওয়েব সার্ভার থাকে তবে আপনি পরিচিত সিস্টেমে এসএসএস ইনবাউন্ড ট্র্যাফিক সীমাবদ্ধ করতে পিএইচপি এবং টিসিপি র্যাপার ব্যবহার করতে পারেন, পাশাপাশি আপনাকে ইন্টারনেটে স্বেচ্ছাসেবীর সিস্টেম থেকে অ্যাক্সেসের অনুমতি দেওয়ার জন্য একটি ব্যাক-ডোর কী সরবরাহ করতে পারেন।
আপনি এটি কীভাবে করেন তা এখানে:
/etc/hosts.deny এ সমস্ত ssh সংযোগ অস্বীকার করুন:
# /etc/hosts.deny fragment
sshd: all
আইপি দ্বারা পরিচিত সিস্টেমগুলিকে /etc/hosts.allow এ মঞ্জুরি দিন, এবং অস্থায়ী অ্যাক্সেসের জন্য একটি ফাইল যুক্ত করুন:
# /etc/hosts.allow fragment
sshd: 10.0.10.2 # some system
sshd: 172.99.99.99 # some other system
sshd: /etc/hosts.allow.temporary-sshd-access
আপনার ওয়েব সার্ভারে একটি পিএইচপি ফাইল তৈরি করুন এবং এটি আমার-এসএসডিডি-অ্যাক্সেস.এফপি-এর মতো একটি অ-প্রকট নাম দিন:
<?php
function get_ip()
{
return getenv("REMOTE_ADDR");
}
?>
<?php
$out='/etc/hosts.allow.temporary-sshd-access';
$log='/var/log/sshd-access-addition-log';
print "Was:";
readfile($out);
print "<br>";
$ip=get_ip();
$fp=fopen($out,"w");
fputs($fp,$ip);
fclose($fp);
$lfp=fopen($log,"a");
fputs($lfp,$ip);
fputs($lfp,"n");
fclose($lfp);
print "Wrote: ";
readfile($out);
?>
পিএইচপি কোডটি ক্ষমা করুন - আমি এটিকে অন্য কোথাও থেকে সরিয়ে নিয়েছি, তাই এটি সম্ভবত পুরো গুচ্ছটি পরিষ্কার করার পক্ষে দাঁড়িয়ে থাকতে পারে। এটি কেবল সিস্টেমের আইপি ঠিকানাটি /etc/hosts.allow.temporary-sshd-access ফাইলটিতে অ্যাক্সেস করা যুক্ত করা হয়, যা সংযোগের সময় sshd দ্বারা পড়া হয় (এর /etc/hosts.allow দ্বারা অন্তর্ভুক্তির কারণে) ।
এখন আপনি যখন ওয়েবে কিছু স্বেচ্ছাসেবী সিস্টেমে আছেন এবং এই সিস্টেমে লঙ্ঘন করতে চান, প্রথমে একটি ওয়েব ব্রাউজার ব্যবহার করুন এবং এই ফাইলটি (বা উইজেট বা সমতুল্য ব্যবহার করুন) টিপুন:
$ wget http://your.system.name/my-sshd-access.php
এখন আপনার সিস্টেমে প্রবেশ করতে সক্ষম হওয়া উচিত। যদি এটি কোথাও থেকে থাকে তবে আপনি সম্ভবত ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন ঘন প্রবেশ করান, /etc/hosts.allow.temporary-sshd-access ফাইলের বিষয়বস্তু পড়ার এবং আইপি ঠিকানা স্থায়ীভাবে / ইত্যাদি / হোস্টগুলিতে যুক্ত করা তুচ্ছ হবে। অনুমতি দেয়।
আপনি অস্বীকারকারীদেরও দেখতে চাইতে পারেন ।
এফওয়াইআই: ওপেনএসএইচ 6.7 টিপস টিসিপ্রেপ্পারস সমর্থন , অস্বীকারকারীগুলি সম্ভবত নতুন ইনস্টলেশনগুলির সমাধান নয়।
নিজেকে একটি পক্ষ করুন এবং পাসওয়ার্ড লগইন অক্ষম করুন। একচেটিয়াভাবে প্রমাণীকরণ কী ব্যবহার করুন (উদাহরণস্বরূপ গুগল এসএস-কীজেন - উদাহরণ: http://www.puddingonline.com/~dave/publications/SSH-with-Keys-HOWTO/docament/html/SSH-with-Kys-HOWTO-4 .html ) আপনার সার্ভারটি আরও সুরক্ষিত হবে, আপনি এটিকে আরও স্বাচ্ছন্দ্যে সংযুক্ত করবেন (ssh-এজেন্ট, ssh-add, keychain পরীক্ষা করুন) এবং আপনি আর ssh brute ফোর্স আক্রমণের শিকার হতে পারবেন না।
অন্য সমাধানটি হ'ল অন্য বন্দরে ssh স্থানান্তর। এই কীটগুলি বেশ বোকা।
অন্য বিকল্পের জন্য হতে পারে যে সমস্ত এসএসএস সংযোগ একটি শংসাপত্র দ্বারা যাচাই করা উচিত এবং পাসওয়ার্ডগুলি পুরোপুরি শেষ করে দেওয়া উচিত।
আমি ডিনহোস্টগুলি ব্যবহার করি, তবে আমি দেখতে পেলাম যে আমি কেবল নিয়মিতভাবে মুষ্টিমেয় কয়েকটি জায়গা থেকে সংযোগ করছি, তাই আমি অন্য কোথাও ব্যতীত সমস্ত বন্দর 22 সংযোগগুলি অবরুদ্ধ করেছি, এবং পোর্ট নকিং ব্যবহার করেছি যাতে আমার ল্যাপটপের সাথে যে কোনও জায়গা থেকে সংযোগ করতে পারি যদি আমাকে করতে হয় ।
একাধিক ব্যর্থতার পরে স্বয়ংক্রিয়ভাবে আইপিগুলিকে ব্লক করা জড়িত এমন কোনও সমাধান পরিষেবার আক্রমণকে অস্বীকার করার ঝুঁকির পরিচয় দেয়। নিষ্ঠুর শক্তি বা অভিধান আক্রমণগুলির কার্যকারিতা হ্রাস করার জন্য যতক্ষণ না কোনও ভাল পাসওয়ার্ড নীতি থাকবে, আমি তাদের সম্পর্কে খুব বেশি চিন্তা করব না।
আপনি যদি ব্যবহারকারী / গোষ্ঠীগুলিকে কেবল তাদের মধ্যে সীমাবদ্ধ করেন যাদের প্রথম স্থানে প্রবেশ করার অনুমতি দেওয়া উচিত এবং লগ ইনকে রুট হিসাবে অক্ষম করা হয় তবে আপনার যথেষ্ট নিরাপদ হওয়া উচিত। এবং, যদি এটি পর্যাপ্ত না হয় তবে সর্বদা কী-ভিত্তিক প্রমাণীকরণ থাকে।
সত্যিই, আপনার যদি এসএসএইচ চালাতে হয় (এবং পোর্ট 22), আপনি এগুলি এড়াতে পারবেন না। আপনার যদি অবশ্যই পাসওয়ার্ড গ্রহণ করতে হয় তবে আপনি আরও খারাপ আকারে রয়েছেন।
আপনার সেরা বাজি হ'ল এসএসএইচ লগগুলি বাদ দেওয়ার জন্য আপনার লগ বিশ্লেষণ সফ্টওয়্যারটি কনফিগার করা। তারপরে কেবল এসএসএইচ লগগুলি দেখার জন্য একটি পৃথক দৃষ্টান্ত চালনা করুন এবং অসফল প্রচেষ্টাগুলি ফিল্টার করতে প্রোমেল ব্যবহার করুন। এমনকি আপনি একাধিক অসফল প্রচেষ্টা সহ আইপি ঠিকানাগুলি থেকে সফল লগইনগুলি দেখতে স্ক্রিপ্টগুলিও লিখতে পারেন।
লোকদের আপনার এসএসএইচ সার্ভারের অনুসন্ধান থেকে বিরত করার কোনও উপায় নেই। ডিনহোস্টস, ফেইলব্যাবান, এবং আইপ্যাবटेবল উদাহরণগুলি এক পর্যায়ে কাজ করবে তবে বৈধ ব্যবহারকারীদের দুর্ঘটনাক্রমে অবরুদ্ধ করার অতিরিক্ত বিপদ সহ with সর্বোত্তম পদ্ধতি হ'ল এটি স্তন্যপান করা এবং লগ-বিশ্লেষণ প্রক্রিয়াটি স্বয়ংক্রিয়ভাবে চেষ্টা করার সময় আপনাকে এটি সম্পর্কে ভাবতে হবে এমন পরিমাণ হ্রাস করার চেষ্টা করা।
আপনি যখন বলছেন যে আপনি আপনার লাল টুপি সার্ভারে লগ-ইন করার প্রচেষ্টা ব্যর্থ হয়ে যাচ্ছেন, তখন এটি কী ধরণের ফায়ারওয়াল পিছনে বসে আছে এবং এতে কত লোকের মধ্যে intoুকে পড়া দরকার। আমি আপনাকে পরামর্শ দিচ্ছি যদি আপনি পারেন তবে ফায়ারওয়ালের চেষ্টাগুলি আপনার প্রকৃত সার্ভারের কাছাকাছি যাওয়ার আগে সীমাবদ্ধ করতে চান।
আপনি যদি আইপি অ্যাড্রেসের বৈধতা সহ অ্যাক্সেসের সীমাবদ্ধতা সীমাবদ্ধ করতে পারেন তবে আপনার অগ্নি প্রাচীরের অ্যাক্সেস তালিকা সেট আপ করতে সক্ষম হওয়া উচিত। আপনি যদি ফায়ারওয়ালে ট্র্যাফিক সীমাবদ্ধ করতে পারেন তবে আমি আপনাকে নেটওয়ার্ক অনুপ্রবেশ সিস্টেমগুলির দিকে নজর দেওয়ার পরামর্শ দিচ্ছি, কারণ মনে হচ্ছে আপনার সার্ভারটি কিছু দ্বারা লক্ষ্যবস্তু হয়েছে।
বেশিরভাগ ওয়েব হোস্টগুলি ব্যর্থ এসএসএইচ লগইনগুলি আইপি-ব্লক করতে এপিএফ + বিএফডি ব্যবহার করে । আজকাল সিএসএফ রয়েছে (কনফিগারার ফায়ারওয়াল) যার মধ্যে এলএফডি নামে একটি সরঞ্জাম রয়েছে যা একই কাজ করে এবং আরও কিছু নির্দিষ্ট দেশগুলির ব্লক আইপি সহ আপনি আপনার সার্ভার অ্যাক্সেস করতে চান না (যেমন কোরিয়া, চীন ইত্যাদি) যেখানে আমার এসএসএইচের ৯৯% প্রোব রয়েছে থেকে উদ্ভূত বলে মনে হচ্ছে)।
আমি ব্যর্থ 2ban ব্যবহার করে যাচ্ছি এবং এটি আমাকে অনেক সাহায্য করে আসছে helping
আপনার যদি একাধিক হোস্ট জুড়ে এই সমস্যাটি সমাধান করার দরকার হয় তবে আপনি ওএসএসইসি দেখতে পারেন: http://www.ossec.net/main/ossec-architecture
এটি আপনাকে ব্রুট-ফোর্স আক্রমণগুলিতে স্বয়ংক্রিয়ভাবে প্রতিক্রিয়া জানাতে একটি কেন্দ্রীভূত অবস্থান থেকে একাধিক এজেন্ট কনফিগার করতে দেয় (লগগুলি থেকে অন্য যে কোনও প্যাটার্ন সহ আপনি বের করতে পারেন)।
সফটওয়্যার খুব সুন্দর টুকরা :)
DenyHosts এর অনুরূপ অন্য একটি বিকল্প হ'ল http: // shwout http://www.techfinesse.com/sshutout/sshutout.html