Брут-форс атака – метод хакерской атаки или взлома компьютерной системы путем подбора паролей путем перебора всех возможных комбинаций символов до нахождения комбинации, подходящей в качестве пароля.
Защита с помощью DenyHosts
Установка:
# cd /usr/ports/security/denyhosts
# make install clean
Отредактируйте файл /etc/hosts.allow:
sshd : /etc/hosts.denied : deny (запрет доступа по ssh с хостов из файла /etc/hosts.denied)
sshd : ALL : allow (разрешение доступа)
В конфигурационном файле denyhosts - /usr/local/etc/denyhosts.conf укажите опцию:
HOSTS_DENY = /etc/hosts.denied
Расскоментируйте строку, иначе denyhosts не запустится:
BLOCK_SERVICE = ALL
Добавьте в автозагрузку:
# echo 'denyhosts_enable="YES"' >> /etc/rc.conf
Чтобы denyhosts не ругался во время запуска об отсутствующем файле, создадим его:
# touch /etc/hosts.denied
И сразу запустим denyhosts :
# /usr/local/etc/rc.d/denyhosts start
Настройка завершена.
Защита с помощью inetd
Установка:
Centos
# yum install inetd
Debian/Ubuntu
# apt-get install xinetd
Параметры inetd:
- -c maximum
Определение максимального числа одновременных запусков каждой службы; по умолчание не ограничено.
Может быть переопределено индивидуально для каждой службы при помощи параметра max-child.
- -C rate
Определение по умолчанию максимального количества раз, которое служба может быть вызвана с одного
IP-адреса в минуту; по умолчанию не ограничено. Может быть переопределено для каждой службы
параметром max-connections-per-ip-per-minute.
- -R rate
Определяет максимальное количество раз, которое служба может быть вызвана в минуту; по умолчанию
256. Частота, равная 0, не ограничивает число вызовов.
- -s maximum
Задает максимальное количество процессов, одновременно обслуживающих один сервис для одного IP
адреса; по умолчанию не ограничено. Может переопределяться для каждой службы параметром max-child-per-ip.
Строки в файле /etc/inetd.conf имеют такой формат:
service-name
socket-type
protocol
{wait|nowait}[/max-child[/max-connections-per-ip-per-minute[/max-child-per-ip]]]
user[:group][/login-class]
server-program
server-program-arguments
Реализация
Модифицируем параметры для сервисов FTP и SSH следующим образом:
Centos/Debian/Ubuntu
# /etc/xinetd.conf
Содержимое:
ftp stream tcp nowait/5/1/2 root /usr/local/sbin/in.proftpd proftpd
ssh stream tcp nowait/5/1/2 root /usr/sbin/sshd sshd -i -4
Перезапускаем inetd:
Debian/Ubuntu
# /etc/init.d/xinetd restart
Centos 7
# systemctl restart xinetd
В данном случае к службам одновременно могут обратиться 5 клиентов, с одного IP-адреса возможно одновременно 2 подключения, причем c одного IP-адреса нельзя будет подключиться чаще 1 раза в минуту.
Дополнительная защита для ssh
В файл /etc/sshd_config добавляем следующую опцию:
MaxAuthTries 1
Это означает, что пользователь имеет право на MaxAuthTries + 1 = 2 попытки авторизации.
Чтобы разрешить только одну попытку авторизации, необходимо выставить значение MaxAuthTries в 0:
MaxAuthTries 0
Дополнительная защита для proftpd
В файл /usr/local/etc/proftpd.conf добавляем:
MaxLoginAttempts 1
Теперь при соединении возможна только 1 попытка авторизации
Защищаем почту (dovecot) с помощью inetd
Для этого останавливаем dovecot:
# /usr/local/etc/rc.d/dovecot stop
После чего в файле /etc/rc.conf закомментируйте запись про dovecot:
#dovecot_enable="YES"
И добавляем в /etc/inetd.conf следующие записи:
imap stream tcp nowait/5/1/2 root /usr/libexec/tcpd /usr/local/libexec/dovecot/imap-login
imaps stream tcp nowait/5/1/2 root /usr/libexec/tcpd /usr/local/libexec/dovecot/imap-login --ssl
pop3 stream tcp nowait/5/1/2 root /usr/libexec/tcpd /usr/local/libexec/dovecot/pop3-login
pop3s stream tcp nowait/5/1/2 root /usr/libexec/tcpd /usr/local/libexec/dovecot/pop3-login --ssl
Перезапустите inetd:
Debian/Ubuntu
# /etc/init.d/xinetd restart
Centos 7
# systemctl restart xinetd