Bloqueio de repetidas tentativas de login ao seu Linux

Esse artigo mostra como implementar um sistema de segurança para bloqueio de ataques brute-force em seu servidor SSH. Ao mesmo tempo também mostra como criar um esquema para permitir acesso remoto (para manutenção) a partir de qualquer IP da internet.

[ Hits: 93.234 ]

Por: julio henrique maschio em 10/11/2005


Bloqueio de repetidas tentativas por regras de iptables



Não é fácil acordar logo cedo na sua casa e ver que enquanto o seu ADSL ficava baixando músicas, alguém sem ter muita coisa o que fazer entupia os seus logs com linhas como essa:

Oct 7 13:31:36 titan sshd[2222]: Illegal user frank from ::ffff:212.50.31.6
Oct 7 13:31:39 titan sshd[2224]: Illegal user dan from ::ffff:212.50.31.6
Oct 7 13:31:41 titan sshd[2226]: Illegal user james from ::ffff:212.50.31.6
Oct 7 13:31:46 titan sshd[2230]: Illegal user radiomail
from ::ffff:212.50.31.6
Oct 7 13:31:49 titan sshd[2232]: Illegal user harrypotter
from ::ffff:212.50.31.6
Oct 7 13:31:51 titan sshd[2234]: Illegal user divine from ::ffff:212.50.31.6
Oct 7 13:31:54 titan sshd[2236]: Illegal user popa3d from ::ffff:212.50.31.6
Oct 7 13:31:57 titan sshd[2238]: Illegal user aptproxy
from ::ffff:212.50.31.6
Oct 7 13:31:59 titan sshd[2240]: Illegal user desktop from ::ffff:212.50.31.6
Oct 7 13:32:02 titan sshd[2242]: Illegal user workshop
from ::ffff:212.50.31.6
Oct 7 13:32:04 titan sshd[2244]: Illegal user mailnull from ::ffff:212.50.31.6
Oct 7 13:32:08 titan sshd[2246]: Illegal user nfsnobody
from ::ffff:212.50.31.6
Oct 7 13:32:11 titan sshd[2248]: Illegal user rpcuser from ::ffff:212.50.31.6
Oct 7 13:32:13 titan sshd[2250]: Illegal user rpc from ::ffff:212.50.31.6
Oct 7 13:32:16 titan sshd[2252]: Illegal user gopher from ::ffff:212.50.31.6

Caso percebam, existe uma coisa interessante nessas linhas de log. Foram 15 tentativas de acesso ao daemon sshd em cerca de aproximadamente 30 segundos. Ou seja, quase 1 a cada 2 segundos.

Uma solução por mim encontrada em uma lista de discussão (1) nos EUA foi a seguinte:

# Create a reject-and-log-SSH-Bruteforce chain to forward things to.

iptables -N REJECT-SSH
iptables -A REJECT-SSH -j DROP
           -m recent --rcheck --name SSH --seconds 60 --hitcount 10
iptables -A REJECT-SSH -j LOG --log-prefix SSH-Bruteforce:
iptables -A REJECT-SSH -j REJECT -p tcp --reject-with tcp-reset
iptables -A REJECT-SSH -j REJECT
# Kill SSH brute-force attacks.  Allow only three connections per minute
# from any source.

iptables -A INPUT -p tcp --dport 22 -m state --state NEW
   -m recent --update --name SSH --seconds 60 --hitcount 4
   -j REJECT-SSH

iptables -A INPUT -p tcp --dport 22 -m state --state NEW
   -m recent --set --name SSH

Traduzindo a página de explicação para quem não tem a mínima noção de inglês:

"Esta é uma solução parcial para ataques remotos de dicionário usando iptables no Linux. Ela funciona baseada no fato de ataques de dicionário criarem conexões repetidamente em um pequeno espaço de tempo, enquanto usuários típicos e legítimos somente se conectam poucas vezes no mesmo espaço de tempo.

Esta regra assume que o seu kernel seja compilado com CONFIG_IP_NF_MATCH_RECENT.

Você pode ajustar este script de acordo com suas necessidades. Como escrito acima, as três primeiras conexões em um período de 60 segundos serão bem sucedidas e a quarta irá falhar com mensagem de "Connection reset by peer." Se o atacante persistir, os seus pacotes serão ignorados sem nenhuma mensagem, a partir da décima tentativa.

Se acontecer de um usuário válido tentar se conectar várias vezes e começar a receber "drops", tudo o que ele tem que fazer é esperar um minuto ou dois e ele estará apto a tentar se conectar novamente. Os usuários que tentarem se conectar repetidamente continuarão sendo "dropados' indeterminadamente".

Agradecimentos ao usuário FuzzyFox pela contribuição para a comunidade. Se ele não morasse tão longe, convidava ele pra tomar uma cerva por minha conta.
(1)http://forums.vandyke.com/...highlight=hosts.deny

Página anterior     Próxima página

Páginas do artigo
   1. O problema
   2. Bloqueio de repetidas tentativas por regras de iptables
   3. Considerações sobre fail2ban
   4. Instalação do fail2ban - Debian like
   5. Configurando o fail2ban
   6. fail2ban.conf - comentários
   7. Afinando o seu sistema....
   8. Considerações finais
Outros artigos deste autor

Acelere o seu Squid com squid-prefetch - baixe as páginas antes dos seus usuários!

Leitura recomendada

VPN: IPSec vs SSL

Segurança em Software de Código Aberto

Configurando um servidor Freeradius + openLDAP

Autenticação via hardware: o módulo pam_usb

Usuário especial para desligar servidores Linux

  
Comentários
[1] Comentário enviado por fernoliv em 10/11/2005 - 01:53h

Caro Julio, parabéns pelo artigo!

Eu gostaria de citar outros dois softwares que utilizo para bloquear IP´s de atacantes em meu servidor:

APF Firewall
http://www.rfxnetworks.com/apf.php
Descrição: Firewall baseado em IPTables de fácil configuração e muito eficiente. A configuração é feita através de um .conf simples onde são informadas as portas a serem liberadas/bloqueadas, além de outras funcionalidades tanto para portas tcp como udp, além de bloquear ataques via ICMP (Denial of Service por exemplo) pois possui embutido um "anti-DOS". Utiliza a lista negras de IP´s que é atualizada frequentemente através do site www.dshiel.org (Distributed Intrusion Detection System), onde constam os IP´s utilizados com maior frequência para fins ilícitos.
-------------------------------------------
BFD - Brute Force Detect
http://www.rfxnetworks.com/bfd.php
Descrição: Em conjunto com o APF Firewall, detecta tentativas de acesso não autorizada a serviços como SSH, Apache, EXIM, FTP, etc. Após 5 tentativas de acesso sem sucesso, o IP de origem é "dropado" no IpTables e o administrador do servidor pode ser avisado por e-mail.

Ambos são desenvolvidos pelo RFX Networks e são free e de uso irrestrito. Não é preciso manjar de IpTables, basta saber quais portais você quer liberar/fechar e eles fazem o trabalho.

É isso ai!

Abraço, Fernando.

[2] Comentário enviado por jmhenrique em 10/11/2005 - 08:37h

Apenas em tempo! desde quando escrevi o artigo, já sairam importantes modificações nas configurações com relação a failregex do ssh. No caso, a versão anterior apenas fazia um 'match case' simples, mas agora está muito mais sofisticada, e tende a ficar cada vez mais.
Caso você tenha seguido os passos e desabilitado a listagem do ssh na interface ipv6, você terá que editar também a failregex e retirar o bloco (?:::f{4,6}:)? dela, pois senão ele não irá casar a regra. Ficaria então algo como:

failregex = : (?:(?:Authentication failure|Failed [-/\w+]+) for(?: [iI](?:llegal|nvalid) user)?|[Ii (?:llegal|nvalid) user).* from (?P<host>\S*)

[3] Comentário enviado por technomancer em 10/11/2005 - 09:31h

Muito obrigado! Eu tenho um servidor aqui na empresa que disponibiliza acesso via ssh e estou tendo logs cheios também.

Dam kidos!

[4] Comentário enviado por lennon.jesus em 10/11/2005 - 09:34h

Grande dica! As configurações de segurança dessa ferramenta são fundamentais para qualquer Sistema que precise ser acessado remotamente.

Parabéns pelo artigo!
XD

[5] Comentário enviado por technomancer em 10/11/2005 - 10:02h

Voltando a comentar... hoje fui dar uma checada no log, e me deparei com o registro de um possivel ataque de dicionario via ssh.

Quero agradecer novamente. Mais um ponto contra os kidos!

[6] Comentário enviado por jmhenrique em 10/11/2005 - 10:52h

technomancer, se você quer dar uma aliviada no fail2ban fazendo ele bloquear somente as coisas NECESSÁRIAS, eu incrementei as regras do hosts.allow e do hosts.deny...
segue abaixo:
1 - Imagino que você só irá acessar da rede brasileira, fiz um script que até o presente momento funciona a contento. Ele analisa via whois o ip da pessoa que está tentando acessar, e dependendo da resposta, automaticamente atualiza o hosts.allow ;-)
2 - edite o arquivo /etc/hosts.allow e coloque somente o seguinte:
#exemplo da sua rede:
sshd: 172.22.34.
#linha de comando que irá enviar o email, rodar
#o script que verifica se o ip pertence ao
#Brasil e se for o caso, re-escrever o hosts.allow sozinho.

sshd: ALL : spawn (echo | /usr/bin/mail -s "[ SSH ] - %c - %u %h %s" root ; /usr/local/bin/verifica_ip %a )

salve e coloque este script em /usr/local/bin/

--corte-----
#!/bin/sh
#Script de Dominio Público criado por
#Julio Henrique Maschio -
#Dominio Publico - a única e verdadeira LIBERDADE
#verifica_ip - verifica se o ip pertence ao brasil

IP_EXTERNO=$1
if [ "$IP_EXTERNO" == "" ] ; then

echo Uso: $0 xxx.www.yyy.zzz
echo
exit 1
fi

#SE O IP PERTENCE AO BRASIL, $VERIFICA_BRASIL DEVERÁ SER
#UMA STRING VAZIA
VERIFICA=`whois $IP_EXTERNO | grep -i \\.br`
if [ $? != 0 ] ; then
#o ip nao é do brasil, pode ser bloqueado tranquilamente.
#iremos bloquear logo a rede inteira...
REDE=`echo $IP_EXTERNO | cut -d\. -f1,2,3`
REDE="$REDE."
echo "sshd: $REDE" : DENY >>/tmp/$$listagem$$
cat /etc/hosts.allow >>/tmp/$$listagem$$
cat /tmp/$$listagem$$ >/etc/hosts.allow
rm -f /tmp/$$listagem$$

else
echo "nada a fazer"
fi

---corta---

este script verifica se o ip é do Brasil, se não for, adiciona ele no hosts.allow com uma instrução de DENY.
Ou seja, voc vai ver ele somente uma vez nos logs...hehehe
(não se esqueça de dar um chmod 755 nele, né?)

pronto, mais uma camada de segurança ao seu linux. :-D

[7] Comentário enviado por Herr_Filip em 11/11/2005 - 08:29h

show o artigo!
parabens!!

[8] Comentário enviado por removido em 11/11/2005 - 20:39h

parabéns.. Muito bom o artigo
!!!


[9] Comentário enviado por Century_Child em 15/11/2005 - 19:52h

Interessante. Tem alguém que fica "poluindo" minha conexão (que já não é lá essas maravilhas) com tentativas de login via SSH.

[10] Comentário enviado por diogofsr em 10/06/2006 - 06:58h

Belíssimo artigo meu amigo.
Me ajudou horrores.
Valeu mesmo.

[11] Comentário enviado por cold_feelings em 14/09/2006 - 07:57h

Vlw ae pelo artigo, era disso q eu tava precisando .. :)

[12] Comentário enviado por pontejunior em 16/03/2009 - 20:05h

Gostei...Muito interessante...São poucos que merecem entrar nos favoritos e este é um deles.

[13] Comentário enviado por perucio em 12/09/2012 - 09:23h

no meu jail.conf não funcionou a função de e-mail, se mando e-mail via console ele vai normalmente, quando restarto o serviço ele da mensagem de erro!


[MAIL]
enabled = true
host = localhost
port = 25
from = root
to = MEU_EMAIL@EMPRESA.COM.BR
subject = [Fail2Ban] Bloqueio <ip>
message = Hi,<br>
The IP <ip> has just been banned by Fail2Ban after
<failures> attempts.<br>
Regards,<br>
Root


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts