Fail2ban fuq gateway VPN: x'jissewwi u x'ma jissewwix

Kull servizz espost jirċievi l-istess parir: poġġi fail2ban fuqu. Għal gateway VPN dan il-parir la huwa ħażin u lanqas biżżejjed, u li tittrattah bħala tikka tal-ibbrejżjar huwa kif in-nies jispiċċaw b'ħabs (jail) li ma jimblokka xejn utli. Fail2ban jaqra r-rekords tal-falliment li tindika lejh u jitlob lill-backend tal-infurzar biex jimblokka s-sorsi li jaqblu. Il-valur kollu tiegħu jiddependi minn liema wiċċ tal-awtentikazzjoni pproduċa r-rekord, jekk l-indirizz fih huwiex il-klijent veru, u x'jiġri lil kulħadd ieħor wara dak l-indirizz.

X'inhu fail2ban mekkanikament

Filter jaqbel mal-linji f'log, ħabs jgħodd il-qbil għal kull sors, u azzjoni tapplika blokk permezz ta' backend tal-ħajt tan-nar. Tliet partijiet li jiċċaqilqu, u kull waħda tista' tkun ħażina b'mod indipendenti.

L-ebda waħda mit-tlieta ma tmiss il-passaġġ tal-awtentikazzjoni: fail2ban jirreaġixxi għall-evidenza wara l-fatt u qatt ma jivvalida kredenzjali hu stess. Għalhekk ħabs jista' jaħdem b'mod nadif filwaqt li l-wiċċ li jsemmi jibqa' espost eżattament daqs qabel.

Is-semmiegħ tal-mina mhuwiex formola tal-login

Semmiegħ OpenVPN protett b'tls-auth jew tls-crypt jarmi pakketti li m'għandhomx il-protezzjoni tal-kanal tal-kontroll qabel ma jibda l-ipproċessar normali tat-TLS. Skaner li qatt m'għandu l-muftieħ ma jiġġenera xejn li l-filter tiegħek jista' jgħodd. L-awtentikazzjoni b'ċertifikat iżżid bieb ieħor, għax m'hemmx password x'taħseb. Il-proġett Fail2ban jiddokumenta mudell ġenerali mmexxi mil-logs, u filter VPN ġeneriku ma jbiddilx pakkett mhux awtentikat f'każ ta' falliment sinifikanti.

Jekk il-gateway jaċċetta biss ċertifikati, l-istorja tal-brute-force li qed tiddefendi kontriha forsi ma teżistix affattu fuq dak il-port.

Mela liema wiċċ qed tipproteġi?

L-istess host spiss jesponi tliet affarijiet differenti: is-semmiegħ tal-mina, portal tal-profil tal-klijent jew self-service, u paġna tal-amministrazzjoni. Il-portal u l-paġna tal-admin għandhom formoli tal-password u jipproduċu linji tal-log li filter jista' jgħodd. Il-mina forsi tipproduċi biss żbalji tal-handshake li jfissru xi ħaġa kompletament oħra. Qabbel il-ħabs mal-wiċċ, mhux mal-isem tal-prodott.

Ħabs wieħed li jħares lejn il-log ħażin huwa agħar minn ebda wieħed, għax joħloq fiduċja mingħajr kopertura. Idderieġi filter tal-login lejn iż-żbalji tal-handshake tal-mina u l-counter se jispara fuq skaners li qatt ma kellhom muftieħ, filwaqt li attakk bil-password fuq il-portal jibqa' mhux magħdud. Aqra l-linja tal-log li l-filter jaqbel magħha qabel ma tafda n-numru tal-ħabs.

L-attribuzzjoni tas-sors hija l-ħolqa dgħajfa

Blokk huwa biss tajjeb daqs l-indirizz li jimmira. Meta s-servizz ikun wara proksi invers lokali, l-indirizz tal-klijent fil-log jista' jkun il-proksi, u li timblokkjah ineħħi lil kulħadd. Li tafda header imbagħat minn sors mhux affidabbli tagħti lill-attakkant il-kapaċità li jimblokka indirizzi arbitrarji. Fuq UDP l-indirizzi tas-sors jistgħu jiġu ffalsifikati, għalhekk l-għadd tagħhom jistħoqqlu aktar attenzjoni mill-għadd ta' login TCP komplut.

Irreġistra l-metodu tal-attribuzzjoni tas-sors fil-README tal-ħabs, għax header imbagħat minn hop mhux affidabbli jbiddel blokk fi arma.

L-ispiża kollaterali hija nies oħra

Diversi impjegati wara NAT wieħed tal-uffiċċju jaqsmu indirizz, għalhekk password waħda salvata u skaduta tista' tissakkar l-uffiċċju kollu ladarba jinqabeż il-limitu. Il-log juri sors wieħed u kont wieħed li fallew, mhux waqfa fl-uffiċċju kollu.

Blokki qosra u limiti moderati jnaqqsu dan, u passaġġ dokumentat għat-tneħħija tal-blokk inaqqas it-tagħbija tal-appoġġ meta xorta jiġri. L-indirizz huwa sinjal goff u mhux identità, u min jiftaħ it-ticket se jiddeskrivi l-waqfa, mhux il-limitu.

Meta tadottah, u meta tissewwi xi ħaġa oħra

Adottah meta jkun hemm falliment tal-login online reali, attribwibbli u ripetut fuq wiċċ li tikkontrolla, u meta l-backend tal-infurzar tassew ikopri dak il-wiċċ. Sewwi xi ħaġa oħra meta l-problema tkun politika dgħajfa tal-kredenzjali, paġna tal-ġestjoni esposta għall-internet, jew kont li jidħol b'suċċess għax ġie kompromess. Blokk ma jistax isewwi xejn minn dawn, u ma jistax jassorbi traffiku li diġà satura l-uplink tiegħek. Dik il-problema l-aħħar tappartjeni 'l fuq, lil xi ħadd li jista' jiffiltra qabel ma l-pakketti jaslu għandek.

Żomm kull ħabs marbut ma' wiċċ wieħed, irrevedi l-pożittivi foloz, u kejjel ix-xogħol tal-awtentikazzjoni evitat aktar milli n-numru ta' indirizzi mblukkati.