看我如何巧妙配置兩款安全工具防范蠻力攻擊
譯文蠻力攻擊簡介
我們都知道這句流行語：“預防勝過治療。”如果你是個Linux系統(tǒng)管理員，可能知道“蠻力攻擊應用程序”如何在你的本地或遠程服務器引發(fā)問題。設想一下：如果你的服務器遭到了身份未知的攻擊者的攻擊，服務器上的數(shù)據(jù)就會落到壞人手里。這肯定會讓你和貴公司陷入從未想過的大麻煩。蠻力攻擊是應用程序采用的反復嘗試方法，以破解你的加密數(shù)據(jù)。加密數(shù)據(jù)可能是任何密碼或密鑰。簡單來說，蠻力攻擊應用程序會嘗試所有可能的密碼或密鑰組合，反復嘗試，直到找到正確的密碼或密鑰為止。這就需要一段時間，具體取決于密碼的復雜性。如果要花過長的時間才能找到密碼，那么可以說你的密碼很安全、很強壯。
現(xiàn)在可以使用一些巧妙的工具來阻止或預防蠻力攻擊。今天，我們就來探討下列工具。
1. SSHGuard ; 2. Fail2Ban.
提醒一下：不要將這兩個工具都安裝在同一個系統(tǒng)上。你可能無法獲得正確的結果。
首先，讓我們看一下SSHGuard，以及如何安裝和配置它，以預防蠻力攻擊。
1. SSHGuard
SSHGuard(http://www.sshguard.net)是一種快速、輕便的監(jiān)控工具，用C語言編寫而成。它可以使用日志活動，監(jiān)控服務器，保護服務器遠離蠻力攻擊。要是有人不斷地試圖通過SSH訪問你的服務器，多次(可能四次)嘗試訪問失敗，SSHGuard就會將對方的IP地址放入到iptables，在一段時間內(nèi)阻止他/她訪問。之后，它會在一段時間后自動解鎖。它幾乎能保護所有的服務，比如sendmail、exim、dovecot、vsftpd、proftpd及許多服務，而不光光保護SSH。
安裝SSHGuard
在Ubuntu/Debian上，SSHGuard就在默認的軟件庫中。
于是，我們可以用下列命令來輕松安裝它：
sudo apt-get install sshguard
在CentOS/RHEL 6.x上：
先下載并添加FlexBox軟件庫，如下所示。
wget http://sourceforge.net/projects/flexbox/files/flexbox-release-1-1.noarch.rpm
使用下列命令更新軟件庫列表：
yum repolist
最后，使用下列命令安裝sshguard：
yum install sshguard
至于其他發(fā)行版，從官方網(wǎng)站(http://www.sshguard.net/download/)下載各自的二進制文件，并自行安裝。
或者，你也可以從這里(http://pkgs.org/download/sshguard)來下載。
用Iptables/Netfilter配置SSHGuard
SSHGuard沒有配置文件。你要做的就是在iptables中為SSHGuard創(chuàng)建新的鏈，以插入阻止訪問的規(guī)則。
為了支持IPv4，在擁有根權限的情況下運行下列命令：
iptables -N sshguard
為了支持IPv6：
ip6tables -N sshguard
現(xiàn)在更新INPUT鏈，將流量傳輸?shù)絪shguard。指定--dport選項，使用sshguard保護服務的所有端口。如果你想防止攻擊者將任何流量傳輸?shù)街鳈C，就完全刪除這個選項。
阻止來自攻擊者的所有流量
為了支持IPv4：
iptables -A INPUT -j sshguard
為了支持IPv6：
iptables -A INPUT -j sshguard
阻止來自攻擊者的特定服務，比如SSH、FTP、POP或IMAP
為了支持IPv4：
iptables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143 -j sshguard
為了支持IPv6：
ip6tables -A INPUT -m multiport -p tcp --destination-ports 21,22,110,143-j sshguard
最后，保存iptables規(guī)則。
service iptables save
核實你在鏈中的較高層沒有傳輸所有ssh流量的default allow(默認允許)規(guī)則。核實你在防火墻中沒有阻止所有ssh流量的default deny(默認拒絕)規(guī)則。不論哪種情況，假設你已經(jīng)擁有調(diào)整防火墻設置的技能。
下面是一個合理的示例規(guī)則集：
iptables -N sshguard
阻止sshguard表明是不良流量的任何流量：
iptables -A INPUT -j sshguard
啟用ssh、dns、http和https：
iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT
阻止之外的所有服務：
iptables -P INPUT DROP
不用Iptables/Netfilter，配置SSHGuard
如果你不用iptables，下列命令可以創(chuàng)建并保存iptables配置;除了讓sshguard可以正常運行外，該配置絕對什么都不做：
iptables -F iptables -X iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT iptables -N sshguard iptables -A INPUT -j sshguard
最后，保存iptables配置：
service iptables save
就是這樣。現(xiàn)在你已安裝并配置了SSHGuard，可以保護你的ssh、ftp及其他服務遠離蠻力攻擊者。#p#
2. Fail2Ban
Fail2ban(http://www.fail2ban.org/wiki/index.php/Main_Page)是一種開源入侵預防系統(tǒng)，可以用來預防蠻力攻擊及其他可疑的惡意攻擊。它可以掃描日志文件(比如/var/log/apache/error_log)，禁止表明存在可疑跡象(比如密碼輸錯次數(shù)過多和尋找安全漏洞等)的IP地址。
一般來說，F(xiàn)ail2Ban之后被用來更新防火墻規(guī)則，阻止IP地址在指定的一段時間內(nèi)訪問，不過還可以配置任何隨意性的其他操作(比如發(fā)送電子郵件或彈出CD-ROM托架)。Fail2Ban在默認情況下隨帶預先配置的過濾器，可用于眾多服務(Apache、curier和SSH等)。
安裝Fail2Ban
以根用戶身份登錄，輸入下列命令，安裝Fail2Ban：
在Ubuntu/Debian上：
apt-get install fail2ban
在CentOS/RHEL上：
先添加EPEL軟件庫。
yum install epel-release yum repolist
然后，使用下列命令安裝fail2ban：
yum install fail2ban
啟用并啟動fail2ban服務。
service fail2ban start chkconfig fail2ban on
或者
systemctl enable fail2ban systemctl start fail2ban
這樣就完事了。
備份Fail2Ban主配置文件：
所有配置文件都位于/etc/fail2ban目錄下。主配置文件是/etc/fail2ban/jail.conf。備份主配置文件是個好主意，以免升級過程中合并。創(chuàng)建/etc/fail2ban/jail.conf文件的本地副本，如下所示：
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
配置Fail2Ban
使用任何編輯工具，打開/etc/fasil2ban/jail.local文件：
vi /etc/fail2ban/jail.local
找到名為[Default]的部分。該部分含有Fail2Ban將遵循的一套基本的規(guī)則。根據(jù)你的需求來設置值。
下面是我的設置：
[DEFAULT]
# "ignoreip"可能是IP地址、CIDR掩碼或DNS主機
ignoreip = 127.0.0.1/8 192.168.1.200/24
[...]
bantime = 600
[...]
maxretry = 3
# "backend"指定了用來獲得文件修改之處的后端。可用選項有"gamin"、"polling"和"auto"。
# yoh：由于某種原因，隨Debian交付的python-gamin沒有像預期的那樣運行。
# 這個問題有待完成，于是輪詢是現(xiàn)在的默認后端
[...]
backend = auto
#
# 完全用于插入到jail.{conf,local}配置文件中的目的地電子郵件地址。
destemail = root@localhost
[...]
#
在這里，
•ignoreip – 將你信任的IP地址列入白名單，防止Fail2Ban阻止。你可以添加空格字符隔開來的多個地址。這里，我將IP地址192.168.1.200列入白名單。所以，該IP地址不會被禁止，即便它發(fā)送了數(shù)量不受限制的失敗登錄嘗試。
•bantime – 如果某主機被Fail2Ban發(fā)現(xiàn)違規(guī)，它被禁止的秒數(shù)。默認時間是600秒(10分鐘)。如果你喜歡，可以延長這個時間值。
•maxretry – 不正確的登錄嘗試次數(shù)，之后主機被Fail2Ban阻止。
服務配置
默認情況下，F(xiàn)ail2Ban含有一套支持各種服務的預定義過濾器。所以你不需要將任何手動項輸入到配置文件中。你要做的就是將已啟用的值改成true或false，F(xiàn)ail2Ban就會自動監(jiān)視相應的服務。
下面是jail.local文件中SSH部分的示例輸出：
[ssh] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log maxretry = 6
這里不妨看看每一項的簡要細節(jié)。
•enabled-這意味著，ssh服務保護功能已開啟。如果你想關閉，只要設成false。
•port-SSH服務端口。
•filter-它指含有規(guī)則的配置文件，F(xiàn)ail2Ban使用這些規(guī)則來找到匹配。默認情況下，它被設成sshd，指代/etc/fail2ban/filter.d/sshd.conf文件。
•logpath―記錄失敗登錄嘗試的日志文件。
•maxretry-Fail2Ban阻止主機之前不正確的登錄嘗試次數(shù)。
一旦你更改了配置，就要重啟Fail2Ban服務，以便保存變更。
systemctl restart fail2ban 或者 service fail2ban restart
你可以使用下列命令，核實Fail2Ban在iptables中添加的規(guī)則：
iptables -L
示例輸出：
Chain INPUT (policy ACCEPT) target prot opt source destination f2b-sshd tcp -- anywhere anywhere multiport dports ssh ACCEPT all -- anywhere anywhere ctstate RELATED,ESTA BLISHED ACCEPT all -- anywhere anywhere INPUT_direct all -- anywhere anywhere INPUT_ZONES_SOURCE all -- anywhere anywhere INPUT_ZONES all -- anywhere anywhere ACCEPT icmp -- anywhere anywhere REJECT all -- anywhere anywhere reject-with icmp-hos t-prohibited [...]
測試Fail2Ban
我想試幾次隨機性的失敗嘗試，從本地客戶機連接到Fail2Ban服務器。
然后，我核實/var/log/fail2ban.log文件中的失敗登錄嘗試：
cat /var/log/fail2ban.log
示例輸出：
2015-07-13 15:38:15,480 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,482 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,483 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,485 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,485 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,487 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,488 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,490 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,491 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,492 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,493 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,495 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:15,496 fail2ban.filter [11792]: INFO [sshd] Found 192.168.1.100 2015-07-13 15:38:16,234 fail2ban.actions [11792]: NOTICE [sshd] Ban 192.168.1.100 或者 iptables -L
正如你從上述兩段輸出中可以看出，我的本地IP地址192.168.1.100已被Fail2Ban禁止。
注意：在默認情況下，被禁止的IP地址在600秒后會被解禁。
就是這樣。但愿這兩款工具對你會有所幫助。
祝你好運!
