Fail2ban VPN-lüüsil: mida see parandab ja mida mitte

Iga avatud teenus saab sama nõu: pane sellele fail2ban. VPN-lüüsi puhul ei ole see nõu ei vale ega piisav, ja just selle käsitlemine kõvendamise linnukesena viib selleni, et inimesed jäävad vangla (jail) juurde, mis ei blokeeri midagi kasulikku. Fail2ban loeb tõrkekirjeid, millele te selle suunate, ja palub jõustamis-backendil sobivad allikad blokeerida. Selle kogu väärtus sõltub sellest, milline autentimispind kirje tekitas, kas selles olev aadress on tõeline klient ja mis juhtub kõigi teistega selle aadressi taga.

Mis on fail2ban mehaaniliselt

Filter sobitab logi ridu, vangla loeb vasteid allika kohta ja tegevus rakendab blokeeringu tulemüüri backendi kaudu. Kolm liikuvat osa ja igaüks neist võib iseseisvalt vale olla.

Ükski neist kolmest ei puuduta autentimisteed: fail2ban reageerib tõenditele tagantjärele ega valideeri ise kunagi volikirja. Seetõttu võib vangla puhtalt töötada, samal ajal kui pind, millele see nime annab, jääb täpselt sama avatuks kui enne.

Tunneli kuulaja ei ole sisselogimisvorm

OpenVPN-kuulaja, mis on kaitstud tls-auth või tls-crypt-ga, viskab kõrvale paketid, millel puudub juhtkanali kaitse, enne kui algab tavaline TLS-töötlus. Skanner, kellel pole kunagi võtit, ei tekita midagi, mida teie filter saaks lugeda. Sertifikaadi autentimine lisab veel ühe värava, sest pole parooli, mida ära arvata. Fail2bani projekt dokumenteerib üldise logipõhise mudeli ja üldine VPN-filter ei muuda autentimata paketti tähenduslikuks tõrkesündmuseks.

Kui lüüs võtab vastu ainult sertifikaate, ei pruugi jõuproovi lugu, mille vastu te kaitsete, sellel pordil üldse olemas olla.

Millist pinda te siis kaitsete?

Sama host pakub sageli kolme erinevat asja: tunneli kuulajat, kliendiprofiili või iseteenindusportaali ja halduslehte. Portaalil ja halduslehel on paroolivormid ning need toodavad logiridu, mida filter saab lugeda. Tunnel võib toota ainult käepigistusvigu, mis tähendavad hoopis midagi muud. Sobitage vangla pinnaga, mitte toote nimega.

Üks vale logi jälgiv vangla on hullem kui mitte ükski, sest see loob usaldust ilma katteta. Suunake sisselogimisfilter tunneli käepigistusvigadele ja loendur käivitub skanneritel, kellel pole kunagi võtit olnud, samal ajal kui portaali vastu suunatud paroolirünne jääb loendamata. Lugege logirida, mida filter sobitab, enne kui usaldate vangla numbrit.

Allika omistamine on nõrk lüli

Blokeering on ainult nii hea kui aadress, mida see sihib. Kui teenus asub kohaliku pöördproxy taga, võib logis olev kliendi aadress olla proxy oma, ja selle blokeerimine eemaldab kõik. Edastatud päise usaldamine mitteusaldusväärsest allikast annab ründajale võimaluse blokeerida suvalisi aadresse. UDP puhul saab allikaaadresse võltsida, seega nende loendamine väärib rohkem hoolt kui lõpetatud TCP-sisselogimise loendamine.

Kirjutage allika omistamise meetod vangla README-sse, sest mitteusaldusväärsest hüppest edastatud päis muudab blokeeringu relvaks.

Kõrvalkulu on teised inimesed

Mitu töötajat ühe kontori NAT-i taga jagavad aadressi, seega üks aegunud salvestatud parool võib künnise ületamisel lukustada kogu kontori. Logi näitab ühte allikat ja ühte ebaõnnestunud kontot, mitte kogu kontorit hõlmavat katkestust.

Lühikesed blokeeringud ja mõõdukad künnised vähendavad seda ning dokumenteeritud blokeeringu tühistamise tee vähendab tugikoormust, kui see siiski juhtub. Aadress on jäme signaal, mitte identiteet ja pileti avaja kirjeldab katkestust, mitte künnist.

Millal see kasutusele võtta ja millal midagi muud parandada

Võtke see kasutusele, kui teie hallataval pinnal on tõeline, omistatav ja korduv võrgusisselogimise tõrge ning kui jõustamis-backend seda pinda tegelikult katab. Parandage midagi muud, kui probleem on nõrk volikirjapoliitika, internetti avatud haldusleht või konto, mis logib edukalt sisse, sest see on kompromiteeritud. Blokeering ei suuda neist ühtegi parandada ega absorbeerida liiklust, mis on teie ülesvoo juba küllastanud. Viimane probleem kuulub ülesvoolu, kellelegi, kes suudab filtreerida enne, kui paketid teieni jõuavad.

Hoidke iga vangla seotud ühe pinnaga, vaadake üle valepositiivsed ja mõõtke välditud autentimistööd, mitte blokeeritud aadresside arvu.