Crmgo Blog

Ochrana iptables proti útoku hrubou silou na SSH

← Blog

renisans

Ochrana iptables proti útoku hrubou silou na SSH

Varianta 1. Omezení připojení. iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT Pravidlo propustí 5 připojení…

Ochrana iptables proti útoku hrubou silou na SSH

Možnost 1. Omezení počtu připojení.

iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT

Toto pravidlo povolí 5 připojení za hodinu a blokuje další, pokud je tento limit překročen. Ve skutečnosti se tím již zajišťuje ochrana proti útoku hrubou silou (brute-force), protože při pěti pokusech o připojení za hodinu je výběr hesla velmi pracný.

Možnost 2. Oklamání skeneru portů + omezení připojení.

iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 8 -j REJECT iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set iptables -A INPUT -p tcp –dport 22 -m recent –name ssh ! –rcheck –seconds 15 –hitcount 2 -j REJECT iptables -A INPUT -p tcp –dport 22 -j ACCEPT

Postup akcí:
1. Pokus o připojení na port 22 (běžné připojení nebo sken portu)
2. Připojení je odhozeno a uživatel má k dispozici 15 sekund na přihlášení
3. Pokud se uživatel během 15 sekund úspěšně přihlásí, získá přístup; pokud se mu to nepodaří, připojení je odmítnuto a znovu se mu poskytnou 2 sekundy.
4. Pokud dojde k 8 neúspěšným pokusům za hodinu, je přístup zablokován až do začátku další hodiny od prvního neúspěšného pokusu.

Výhody této funkce: skener portů nemá hned jasno v tom, že je port 22 otevřený. Navíc, pokud by útočníci zjistili, že je port otevřený, pro útok hrubou silou by bylo osm pokusů málo.

Nevýhody: pokud se omylem zablokujete sami, musíte čekat hodinu.)

Poznámka: příspěvek mohl vzniknout s pomocí AI a lidskou redakcí. Odpovědný: Dmytro Lomaka, Kaltenkirchen.