Qual è l'impostazione predefinita di fail2ban per i tentativi di accesso SSH?

Question

Qual è l'impostazione predefinita di fail2ban per i tentativi di accesso SSH?

#1 da (7 voti)

6

Ho provato a bloccarmi dal mio server per verificare se fail2ban funziona correttamente, quindi ho provato l'accesso a ssh e ho usato una password errata all'infinito. Ma sono stato bloccato solo dopo 13 accessi falliti invece del default 6 fallito.

Ho rimosso fail2ban con --purge e reintegrato, quindi dovrebbe esserci il valori predefiniti in /etc/fail2ban/jail.conf ora. Ecco come appare sul mio server:

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1
bantime  = 600
maxretry = 3

...
[ssh]

enabled = true
port    = ssh
filter  = sshd
logpath  = /var/log/auth.log
maxretry = 6

Quindi, come ho capito, per ssh ci dovrebbe essere maxretry 6 ora. Perché potrei provare 12 volte senza essere bloccato?

Ho anche provato un attacco a forza bruta con THC-Hydra :

hydra -l john -P /tmp/pass.txt myserver.de ssh

e ho visto in /var/log/auth.log che hydra ha provato da 20 a 30 tentativi di fila senza essere bloccato. guarda il mio log qui: link

qualche informazione in più:

ho disinstallato fail2ban e poi ho ricevuto alcuni messaggi in /var/log/auth.log durante il mio attacco hydra come

sshd[9286]: Failed password for john from 123.456.123.456 port 54705 ssh2
sshd[9286]: Failed password for john from 123.456.123.456 port 54698 ssh2
...
sshd[9280]: PAM service(sshd) ignoring max retries; 5 > 3
...
sshd[9286]: PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= 
...
sshd[9285]: PAM service(sshd) ignoring max retries; 6 > 3

forse ssh viene reindirizzato su un'altra porta ogni volta?

Questa volta non sono stato bloccato, quindi fail2ban funziona, se installato.

brute-force attack-prevention

posta rubo77 16.12.2012 - 04:26

fonte

1 risposta

Leggi altre domande sui tag brute-force attack-prevention

Problemi di sicurezza con il sistema di pagamento anticipato Difesa in profondità vs bassa complessità - Punto di equilibrio?

score 7 · Accepted Answer

Penso che tu stia vedendo una combinazione di due cose:

Latenza tra il tempo sshd invia la stringa al log, il tempo syslog lo scrive sul disco, l'ora fail2ban lo preleva, lo analizza e inietta una regola iptables nel set in esecuzione, e il tempo in cui il kernel inizia a prestare attenzione alle nuove regole di filtraggio. Questo è il motivo per cui vedi le voci "Già bannato" in fail2ban.log.
PAM, login.defs e sshd cercano tutti di bloccare i tentativi successivi. Se si nota, si dice sshd[9280]: PAM service(sshd) ignoring max retries; 5 > 3 , che PAM ti dice che c'è "retry = 3" in uno dei suoi moduli (probabilmente /etc/pam.d/password-auth) e ignorerà ogni ulteriore richiesta di autenticazione da sshd all'interno della stessa sessione. Sshd continuerà a provare fino a quando non esaurisce l'impostazione di MaxAuthTries (il valore predefinito è 6, penso), a quel punto terminerà la connessione. Questo probabilmente crea voci di log diverse che fail2ban non analizza come tentativi di accesso falliti. Solo un'ipotesi su questo.

HTH.