Fail2ban VPN-portilla: mitä se korjaa ja mitä ei

Jokainen altistettu palvelu saa saman neuvon: laita siihen fail2ban. VPN-portin kohdalla neuvo ei ole väärä eikä riittävä, ja juuri sen käsitteleminen koventamisen rastiruutuna johtaa siihen, että ihmisille jää vankila (jail), joka ei estä mitään hyödyllistä. Fail2ban lukee ne epäonnistumistietueet, joihin sen osoitat, ja pyytää valvontataustapalvelua estämään vastaavat lähteet. Sen koko arvo riippuu siitä, mikä todennuskerros tuotti tietueen, onko siinä oleva osoite todellinen asiakas ja mitä tapahtuu kaikille muille tuon osoitteen takana.

Mitä fail2ban on mekaanisesti

Suodatin sovittaa login rivejä, vankila laskee osumia lähteittäin ja toiminto soveltaa eston palomuurin taustapalvelun kautta. Kolme liikkuvaa osaa, ja jokainen voi olla väärin itsenäisesti.

Mikään kolmesta ei kosketa todennuspolkua: fail2ban reagoi todisteisiin jälkikäteen eikä koskaan validoi tunnistetta itse. Siksi vankila voi toimia puhtaasti, kun taas pinta, jonka se nimeää, pysyy täsmälleen yhtä altistettuna kuin ennen.

Tunnelin kuuntelija ei ole kirjautumislomake

OpenVPN-kuuntelija, joka on suojattu tls-auth:lla tai tls-crypt:llä, pudottaa paketit, joilta ohjauskanavan suojaus puuttuu, ennen tavallisen TLS-käsittelyn alkua. Skanneri, jolla ei koskaan ole avainta, ei tuota mitään, mitä suodattimesi voisi laskea. Varmenteen todennus lisää vielä yhden portin, koska arvattavaa salasanaa ei ole. Fail2ban-projekti dokumentoi yleisen lokipohjaisen mallin, eikä yleinen VPN-suodatin muuta todennusmatonta pakettia merkitykselliseksi epäonnistumistapahtumaksi.

Jos portti hyväksyy vain varmenteita, se brute-force-tarina, jota vastaan puolustaudut, ei ehkä ole olemassakaan tuolla portilla.

Mitä pintaa sinä siis suojaat?

Sama isäntä altistaa usein kolme eri asiaa: tunnelin kuuntelijan, asiakasprofiili- tai itsepalveluportaalin ja ylläpitosivun. Portaalissa ja ylläpitosivulla on salasanamakkeet ja ne tuottavat logirivejä, joita suodatin voi laskea. Tunneli voi tuottaa vain kättelyvirheitä, jotka tarkoittavat jotain aivan muuta. Sovita vankila pintaan, ei tuotteen nimeen.

Väärää logia tarkkaileva vankila on huonompi kuin ei mitään, koska se luo luottamusta ilman kattavuutta. Kohdista kirjautumissuodatin tunnelin kättelyvirheisiin, niin laskuri laukeaa skannereilla, joilla ei koskaan ollut avainta, kun taas portaaliin kohdistuva salasana hyökkäys jää laskematta. Lue logirivi, jonka suodatin sovittaa, ennen kuin luotat vankilan lukuun.

Lähteen kohdistus on heikko lenkki

Esto on vain niin hyvä kuin osoite, johon se kohdistuu. Kun palvelu on paikallisen käänteisen välityspalvelimen takana, login asiakasosoite voi olla välityspalvelin, ja sen estäminen poistaa kaikki. Epäluotettavasta lähteestä tulevan välitetyn otsakkeen luottaminen antaa hyökkääjälle mahdollisuuden estää mielivaltaisia osoitteita. UDP:ssä lähdeosoitteet voidaan väärentää, joten niiden laskeminen ansaitsee enemmän huolta kuin valmiin TCP-kirjautumisen laskeminen.

Kirjaa lähteen kohdistusmenetelmä vankilan README-tiedostoon, koska epäluotettavasta hypystä välitetty otsake muuttaa eston aseeksi.

Sivukustannus ovat muut ihmiset

Useat työntekijät yhden toimiston NAT:n takana jakavat osoitteen, joten yksi vanhentunut tallennettu salasana voi lukita koko toimiston, kun kynnys ylittyy. Logi näyttää yhden lähteen ja yhden tilin, jotka epäonnistuivat, ei koko toimiston katkosta.

Lyhyet estot ja maltilliset kynnykset vähentävät sitä, ja dokumentoitu eston purkamisen polku vähentää tukikuormaa, kun se kuitenkin tapahtuu. Osoite on karkea signaali eikä identiteetti, ja lipun avaava henkilö kuvaa katkoksen, ei kynnystä.

Milloin se ottaa käyttöön ja milloin korjata jotain muuta

Ota se käyttöön, kun hallitsemallasi pinnalla on todellinen, kohdistettavissa oleva ja toistuva verkkokirjautumisen epäonnistuminen ja kun valvontataustapalvelu todella kattaa tuon pinnan. Korjaa jotain muuta, kun ongelma on heikko tunnistekäytäntö, internetiin altistettu hallintasivu tai tili, joka kirjautuu sisään onnistuneesti, koska se on vaarantunut. Esto ei voi korjata mitään noista eikä se voi absorboida liikennettä, joka on jo kyllästänyt uplinkisi. Viimeinen ongelma kuuluu ylävirtaan, jollekin, joka voi suodattaa ennen kuin paketit saavuttavat sinut.

Pidä jokainen vankila sidottuna yhteen pintaan, tarkista vääriä hälytyksiä ja mittaa vältetty todennustyö estettyjen osoitteiden määrän sijaan.