Estoy ejecutando una serie de servidores web y ya tengo un conjunto bastante bueno de reglas de firewall configuradas; sin embargo, estoy buscando algo para monitorear el tráfico y agregar reglas según sea necesario. Tengo denyhosts monitoreando los inicios de sesión SSH incorrectos, y eso es genial, pero me encantaría algo que pudiera aplicar a toda la máquina y que también ayudaría a prevenir ataques de fuerza contra mis aplicaciones web, y agregar reglas para bloquear las IP que muestran evidencia de Ataques comunes.
He visto APF, pero parece que no se ha actualizado en varios años. ¿Todavía está en uso y sería bueno para esto? Además, ¿qué otras soluciones existen que manipularían iptables para que se comporte de alguna manera adaptativa?
Estoy ejecutando Ubuntu Linux, si eso ayuda.
Respuesta1
Soy un gran admirador de fail2ban.
http://www.fail2ban.org/wiki/index.php/Main_Page
Aquí hay una lista de las principales funciones disponibles en Fail2ban.
Client/Server architecture.
Multi-threaded.
Highly configurable.
FAM/Gamin support.
Parses log files and looks for given patterns.
Executes commands when a pattern has been detected for the same IP address for more than X times. X can be changed.
After a given amount of time, executes another command in order to unban the IP address.
Uses Netfilter/Iptables by default but can also use TCP Wrapper (/etc/hosts.deny) and many other actions.
Handles log files rotation.
Can handle more than one service (sshd, apache, vsftpd, etc).
Resolves DNS hostname to IP address.
Respuesta2
Aprender acercaipset, de los creadores de iptables.
Luego, aprenda a utilizar el -j SETobjetivo; preferiblemente en combinación con -m recent -m limity/o -m hashlimit.
¡Buena suerte, joven Jedi! :-)
(Ya que estás usando Ubuntu,debeinstalar ipset desde la fuente; vea mi blog para el CÓMO:http://pepoluan.posterous.com/powertip-howto-install-ipset-on-ubuntu)
Respuesta3
Respuesta4
Es un poco excesivo, pero hay un gran proyecto llamado OSSEC, puede monitorear los registros del servidor y si ve algo sospechoso (tiene una lista de reglas y usted puede escribir la suya propia) puede bloquear la IP remota.
No puedes llamarlo demonio iptables, pero es mucho más poderoso que denyhost.