Home » FreeBSD » FreeBSD Brute Force Attack Counter Tool (No. 2) (Tag: )

FreeBSD Brute Force Attack Counter Tool (No. 1) の続きです。

ハッシュリファレンスを多用しています。理解している前提で書いているので予めご了承ください。

処理概要

  • 毎分 /var/log/auth.log (sshd), /var/log/poplog (popd) に出力した Failed password の行から IP アドレスを抽出し、
  • 所定の場所 ($item->{target0}, $item->{target1}) に記録、
  • 一定回数 $item->{mistime} を超えた場合は
  • ipfw add 00101 deny ip from [ipaddr] to any で遮断し
  • 一定時間 $item->{expire} を経過後解放。

所定の場所に出力されるサンプルは以下の通りです。実際の出力から 1, 2 オクテットのみプライベート IP アドレスに変更していますが、ニュアンスは伝わるでしょう。

last_line               2267195
2012/10/02 19:20:04     10.10.59.71    7       -
2012/10/02 19:20:04     10.10.75.90    8       -
2012/10/02 19:20:04     10.10.246.33   2       -
2012/10/02 19:20:04     10.10.121.198  2       -
2012/10/02 19:22:02     10.10.75.90    9       -
2012/10/02 19:44:01     10.10.75.90    10      add
2012/10/02 20:14:01     10.10.75.90    0       expire
2012/10/02 20:28:01     10.10.75.90    1       -
2012/10/02 20:30:01     10.10.207.240  1       -
2012/10/02 20:34:01     10.10.75.90    2       -
2012/10/02 20:43:02     10.10.75.90    3       -
2012/10/02 20:56:01     10.10.75.90    4       -
2012/10/02 21:02:01     10.10.75.90    5       -
2012/10/02 21:04:01     10.10.75.90    6       -
2012/10/02 21:10:01     10.10.75.90    7       -
2012/10/02 22:40:01     10.10.139.161  2       -
2012/10/02 23:15:03     10.10.248.211  972     add
2012/10/02 23:24:02     10.10.98.192   1       -
2012/10/02 23:27:02     10.10.207.240  3       -
2012/10/02 23:29:01     10.10.207.240  4       -
2012/10/02 23:30:02     10.10.207.240  6       -
2012/10/02 23:46:02     10.10.248.211  0       expire

10.10.75.90 は正規のユーザが "おっかしいな。。" と言いながら何度か試している可能性はありますが、10.10.248.211 のケースが総当たり攻撃の典型です。

popd 改修

今回は FreeBSD の ports に収録されている /usr/ports/mail/popd/ を、 sshd 同様 poplog に Failed password の行が出力する様に修正する点がポイントです。

これにより、大半のサブルーチンは兼用することが出来ます。今回は引数なしで実行すれば sshd (/var/log/auth.log) を、-p 付きで実行する場合は popd (/var/log/poplog) を監査する様にしました。

実際 bfcheck.pl 側を sshd だけでなく popd に対応させる修正は、$item の target0, target1 や dir0, dir1 とログファイルや監査結果の出力先ディレクトリの分岐と、71 – 81 行目の分岐でほぼ終了です。

popd 側の修正はまだ完全とは言えない可能性があるので、ポイントのみ。

  • popd.c の終端の switch 文で、case FALSE, case QUIT の場合に syslog(facility, “Failed password for null from %s”, inet_ntoa(addr.sin_addr)); の様に追記。IPv6 に対応する場合は case TRUE の分岐を参考に。
  • 必須ではないが、authenticate.c の終端 case PASS: で if (counter == 4) の 4 を sshd_config の MaxAuthTries と揃えて変更。

これで、sshd の場合と同じ条件で認証し、失敗時の出力も 340 行目の様になり、sshd か popd のみの違いとなります。

当初は ipfw でなく /etc/hosts.allow で

当初は /etc/hosts.allow に deny で追加・解放していましたが、この場合では懲りずに通信を続ける場合は負荷を避けることが出来ないことが分かりました。

ipfw と違いルール番号を気にしなくて良いので、手軽に始めたことがきっかけですが、Refused … と出ていても通信を止めないクライアントが結構多いのです。

そのため、ipfw で遮断する方針に切り替えました。効果はてきめんです。

ルール番号と登録ポリシーや、ipfw でなく pf に変更等応用は効くと思いますが、cron で実行する場合には工夫も必要です。

cron からはラッパースクリプトで直列起動

当初 crontab -e で

*/1 * * * * /home/tools/bfcheck.pl 2>/dev/null
*/1 * * * * /home/tools/bfcheck.pl -p 2>/dev/null

の様に登録しましたが、ipfw のルール変更で実に不思議な動きをしました。正常に消す場合と、消すはずの IP アドレスが消えずに増え続ける場合があるのです。

同じルール番号を用いていたので、sshd と popd の場合でルール番号を分けることでも対処は可能でしょうが、今回は bfcheck.sh を以下の内容で用意し、crontab -e では単に

*/1 * * * * /home/tools/bfcheck.sh 2>/dev/null

とだけ呼ぶ様にしました。

#!/bin/sh

    /home/tools/bfcheck.pl 2>/dev/null
    /home/tools/bfcheck.pl -p 2>/dev/null

まだ運用開始してい間もないので、経過観察は続けてみます。そのうち、ftpd や sendmail 向けの機能拡張も必要となる気はしています。

Random Select

波ぬ花 (5)
17:30 にスタートした 沖縄本島 (No. 48 – ルフージュ) でエンジンがかかった後は、同じく栄町通りそばの 波ぬ花 を訪れました。2 件目で 19:00 とは私には珍しい行動パ
伊江島 (6)
沖縄本島 (No. 4 – 瀬底大橋) の続きです。出発して 15 分弱で肉眼でもはっきりと伊江島が迫ってくるのが分かります。普通に写真を撮っている様に見えるかもしれませんが、風がものすご
FreeBSD Logo
ファイルシステムのチェックツールというよりは、特定のファイルやディレクトリの検知や、不足している場合の自動修正を目的としたスクリプトです。プログラムが残す一時ファイルの検知。一定時間経過している場合の
味噌らーめん
めん徳二代目つじ田 (二代目つけ麺) はつけ麺が有名ですが、味噌らーめんに特化した 味噌の章 があり、気にはなっていました。つい先日 沖縄出張 (No. 5 ? 追風丸) で美味しい味噌らーめんを食べ
つけ麺 中盛 (330g)
先日自宅からデータセンターに向かう途中、JR 御茶ノ水駅から丸ノ内線御茶ノ水駅に乗り継いだところ、丸ノ内線が停電事故により振替輸送を実施とアナウンスが聞こえて来ました。振替輸送された方が遠回りになるど
南ぬ島 石垣空港 国内線
石垣島 (No. 12 – 味処 岩) の続きです。一度帰り、夜は 石垣島 (No. 3 – こてっぺん) を再び訪れて 3 日目は終わりました。翌日 05/07 は昼時のフラ
純生讃岐うどん (6)
1 ヶ月程前に香川の友達から差し入れをいただきました。 うどん本陣 山田家 という地元では有名店の通販のセットで、"一日、四千人が行列をつくる讃岐うどんの老舗" だそうです。開封し
ESXi 5.1 Install - NG (Boot image is corrupted)
ある日、予備機に VMware ESXi 5.1.0 Update 1 をインストールしました。ISO イメージ自体が 300 MB 強でじわじわと時間が掛かりますが、これからまさにインストーラが起動
FRB-80
My Guitar で触れた様に、バンドでの演奏経験はほとんどありませんが、以前からベースも時々触っています。2007/10 頃に当時使用していたギター TEJ-75 を入手した後、ベースも探しました
Valid HTML5 Valid CSS3 Another HTML Lint