it-swarm-pt.tech

Ataque de força bruta no DirectAdmin

Tenho problemas com o monitor de força bruta na administração direta. A cada minuto eu recebo informações como esta:

15705610210001 52.187.17.107 123 1 sshd4 8 de outubro 20:56:24 sshd do servidor [10817]: Falha na senha do usuário 123 inválido de 52.187.17.107 porta 40775 ssh2

15705610210000 176.31.253.55 Titanic123 1 sshd4 8 de outubro 20:56:02 sshd do servidor [10808]: Falha na senha do usuário inválido Titanic123 de 176.31.253.55 porta 35368 ssh2

15705609610001 45.125.65.34 internet 1 exim2 2019-10-08 20:55:18 o autenticador de login falhou para (usuário) [45.125.65.34]: 535 Dados de autenticação incorretos (set_id = internet)

15705609610000 80.211.180.23 qazWSX 1 sshd4 8 de outubro 20:55:21 sshd do servidor [10799]: Falha na senha do usuário inválido qazWSX da porta 80.211.180.23 40812 ssh2

15705609010000 138.197.89.212 root 1 sshd5 Oct 8 20:54:15 server sshd [10784]: Falha na senha do root de 138.197.89.212 porta 33528 ssh2

15705608410001 51.254.99.208 root 1 sshd5 Oct 8 20:53:56 server sshd [10776]: Falha de senha para root de 51.254.99.208 porta 42610 ssh2

15705608410000 194.182.86.133 root 1 sshd5 Oct 8 20:53:31 server sshd [10770]: Falha na senha do root de 194.182.86.133 porta 38058 ssh2

15705607810002 45.125.65.58 market 1 exim2 2019-10-08 20:52:50 autenticador de login falhou para (usuário) [45.125.65.58]: 535 Dados de autenticação incorretos (set_id = market)

Eu instalei o fail2ban e o CSF. O CSF deve ser bloqueado automaticamente com o BFM.

Minha porta ssh foi alterada. Meu directadmin de porta foi alterado.

Na configuração ssh: MaxAuthTries 3 MaxSessions 5

No CSF: IGNORE_ALLOW = "1"

Permitir porta: tcp em 2109, 9009, 53, 80.443,20,21,25,110.143.587.993.995.3306 tcp de saída 2109, 9009, 80, 113, 443, 20,21,25,110,3306 udp em 53,20,21 udp de 53.113.123, 20,21

CC_DENY: CN, IN, RU, VN, AR, TR, LV, BY, JP, EC, MY, TW, KR

LF_SSHD etc. conjunto 3.

Como posso proteger e eliminar esse ataque de força bruta?

log fail2ban:

08/10/2019 21: 01: 29.037 fail2ban.actions [1487]: AVISO [sshd] 194.182.86.133 já banido

08/10/2019 21: 01: 30.385 fail2ban.filter [1487]: INFO [sshd] Encontrado 194.182.86.133

08/10/2019 21: 01: 37.604 fail2ban.filter [1487]: INFO [sshd] Encontrado 110.49.70.240

08/10/2019 21: 01: 38.045 fail2ban.actions [1487]: AVISO [sshd] Ban 110.49.70.240

08/10/2019 21: 01: 38,151 fail2ban.action [1487]: ERROR iptables -w -n -L INPUT | grep -q 'f2b-sshd [\ t]' - stdout: b ''

08/10/2019 21: 01: 38,151 fail2ban.action [1487]: ERROR iptables -w -n -L INPUT | grep -q 'f2b-sshd [\ t]' - stderr: b ''

08/10/2019 21: 01: 38,151 fail2ban.action [1487]: ERROR iptables -w -n -L INPUT | grep -q 'f2b-sshd [\ t]' - retornou 1

2019-10-08 21: 01: 38,151 fail2ban.CommandAction [1487]: ERROR Falha na verificação de invariante. Tentando restaurar um ambiente são

08/10/2019 21: 01: 38.256 fail2ban.action [1487]: ERRO iptables -w -D INPUT -p tcp -m multiport --dports ssh, 2109, sftp -j f2b-sshd iptables -w -F f2b- sshd iptables -w -X f2b-sshd - stdout: b ''

08/10/2019 21: 01: 38.257 fail2ban.action [1487]: ERRO iptables -w -D INPUT -p tcp -m multiport --dports ssh, 2109, sftp -j f2b-sshd iptables -w -F f2b- sshd iptables -w -X f2b-sshd - stderr: b "iptables v1.6.0: Não foi possível carregar o destino f2b-sshd':No such file or directory\n\nTryiptables -h 'ou' iptables --help 'para obter mais informações.\niptables: Nenhuma cadeia/destino/correspondência com esse nome.\niptables: Nenhuma cadeia/destino/correspondência com esse nome.\n "

08/10/2019 21: 01: 38.257 fail2ban.action [1487]: ERRO iptables -w -D INPUT -p tcp -m multiport --dports ssh, 2109, sftp -j f2b-sshd iptables -w -F f2b- sshd iptables -w -X f2b-sshd - retornou 1

08/10/2019 21: 01: 38.257 fail2ban.actions [1487]: ERROR Falha ao executar ban jail 'sshd' action 'iptables-multiport' info 'CallingMap ({' corresponde ':' Oct 8 19:29:42 servidor sshd [5972]: pam_unix (sshd: auth): falha de autenticação; logname = uid = 0 euid = 0 tty = ssh ruser = rhost = 110.49.70.240 usuário = root\nOct 8

19:29:43 sshd do servidor [5972]: Falha na senha do root de 110.49.70.240 porta 31718 ssh2\nOct 8 21:01:37 sshd do servidor [19799]: pam_unix (sshd: auth): falha de autenticação; logname = uid = 0 euid = 0 tty = ssh ruser = rhost = 110.49.70.240 user = root ',' ipjailfailures ':. em 0x7f858c6379d8>, 'falhas': 3, 'ipmatches':. em 0x7f858d696510>, 'ip': '110.49.70.240', 'time': 1570561298.0458193, 'ipfailures':. em 0x7f858c637510>, 'ipjailmatches':. em 0x7f858c637620>}) ': Erro ao interromper a ação

08/10/2019 21: 01: 39.734 fail2ban.filter [1487]: INFO [sshd] Encontrado 110.49.70.240

1
jedlu91

Honestamente, não há muito que você possa fazer para impedir esses ataques se a porta do seu servidor ssh for encaminhada. Apenas certifique-se de ter uma senha forte e não use nomes de usuário comuns. Além disso, como você pode ver, o Fail2Ban também protege o SSH do seu servidor de ataques de força bruta. Também parece que o IPTables ou o Fail2Ban pode estar quebrado e não está banindo os ips corretamente.

1
JosephWorks

Se você ver ERROR Invariant check failed. Trying to restore a sane environment ou Couldn't load target 'f2b-sshd':No such file or directory, pode significar:

  • ou fail2ban não foi capaz de iniciar a ação ban inicialmente (ou desde a v.0.10 on demand pelo primeiro ban), por exemplo por erro na configuração, ou módulo multiporta não é permitido/instalado no kernel, etc ... veja em fail2ban. registrar erros no início da ação;
  • ou alguma coisa externa removeu ou liberou as regras fail2ban intermediárias (tente evitar tal liberação completa de regras/chains no iptables). Se você tiver algum serviço fazendo isso, adicione dependências a fail2ban ou tente filtrar as cadeias fail2ban (por exemplo, use iptables-save/iptables-restore para as cadeias com nomes começando com f2b-);
  • ou você mudou os aliases de porta usados ​​nas regras do iptables (ssh, sftp) depois que a ação do fail2ban foi iniciada (as regras do iptables foram aplicadas).
0
sebres