Home » FreeBSD » FreeBSD Brute Force Attack Counter Tool (No. 2) (Tag: )

FreeBSD Brute Force Attack Counter Tool (No. 1) の続きです。

ハッシュリファレンスを多用しています。理解している前提で書いているので予めご了承ください。

処理概要

  • 毎分 /var/log/auth.log (sshd), /var/log/poplog (popd) に出力した Failed password の行から IP アドレスを抽出し、
  • 所定の場所 ($item->{target0}, $item->{target1}) に記録、
  • 一定回数 $item->{mistime} を超えた場合は
  • ipfw add 00101 deny ip from [ipaddr] to any で遮断し
  • 一定時間 $item->{expire} を経過後解放。

所定の場所に出力されるサンプルは以下の通りです。実際の出力から 1, 2 オクテットのみプライベート IP アドレスに変更していますが、ニュアンスは伝わるでしょう。

last_line               2267195
2012/10/02 19:20:04     10.10.59.71    7       -
2012/10/02 19:20:04     10.10.75.90    8       -
2012/10/02 19:20:04     10.10.246.33   2       -
2012/10/02 19:20:04     10.10.121.198  2       -
2012/10/02 19:22:02     10.10.75.90    9       -
2012/10/02 19:44:01     10.10.75.90    10      add
2012/10/02 20:14:01     10.10.75.90    0       expire
2012/10/02 20:28:01     10.10.75.90    1       -
2012/10/02 20:30:01     10.10.207.240  1       -
2012/10/02 20:34:01     10.10.75.90    2       -
2012/10/02 20:43:02     10.10.75.90    3       -
2012/10/02 20:56:01     10.10.75.90    4       -
2012/10/02 21:02:01     10.10.75.90    5       -
2012/10/02 21:04:01     10.10.75.90    6       -
2012/10/02 21:10:01     10.10.75.90    7       -
2012/10/02 22:40:01     10.10.139.161  2       -
2012/10/02 23:15:03     10.10.248.211  972     add
2012/10/02 23:24:02     10.10.98.192   1       -
2012/10/02 23:27:02     10.10.207.240  3       -
2012/10/02 23:29:01     10.10.207.240  4       -
2012/10/02 23:30:02     10.10.207.240  6       -
2012/10/02 23:46:02     10.10.248.211  0       expire

10.10.75.90 は正規のユーザが "おっかしいな。。" と言いながら何度か試している可能性はありますが、10.10.248.211 のケースが総当たり攻撃の典型です。

popd 改修

今回は FreeBSD の ports に収録されている /usr/ports/mail/popd/ を、 sshd 同様 poplog に Failed password の行が出力する様に修正する点がポイントです。

これにより、大半のサブルーチンは兼用することが出来ます。今回は引数なしで実行すれば sshd (/var/log/auth.log) を、-p 付きで実行する場合は popd (/var/log/poplog) を監査する様にしました。

実際 bfcheck.pl 側を sshd だけでなく popd に対応させる修正は、$item の target0, target1 や dir0, dir1 とログファイルや監査結果の出力先ディレクトリの分岐と、71 – 81 行目の分岐でほぼ終了です。

popd 側の修正はまだ完全とは言えない可能性があるので、ポイントのみ。

  • popd.c の終端の switch 文で、case FALSE, case QUIT の場合に syslog(facility, “Failed password for null from %s”, inet_ntoa(addr.sin_addr)); の様に追記。IPv6 に対応する場合は case TRUE の分岐を参考に。
  • 必須ではないが、authenticate.c の終端 case PASS: で if (counter == 4) の 4 を sshd_config の MaxAuthTries と揃えて変更。

これで、sshd の場合と同じ条件で認証し、失敗時の出力も 340 行目の様になり、sshd か popd のみの違いとなります。

当初は ipfw でなく /etc/hosts.allow で

当初は /etc/hosts.allow に deny で追加・解放していましたが、この場合では懲りずに通信を続ける場合は負荷を避けることが出来ないことが分かりました。

ipfw と違いルール番号を気にしなくて良いので、手軽に始めたことがきっかけですが、Refused … と出ていても通信を止めないクライアントが結構多いのです。

そのため、ipfw で遮断する方針に切り替えました。効果はてきめんです。

ルール番号と登録ポリシーや、ipfw でなく pf に変更等応用は効くと思いますが、cron で実行する場合には工夫も必要です。

cron からはラッパースクリプトで直列起動

当初 crontab -e で

*/1 * * * * /home/tools/bfcheck.pl 2>/dev/null
*/1 * * * * /home/tools/bfcheck.pl -p 2>/dev/null

の様に登録しましたが、ipfw のルール変更で実に不思議な動きをしました。正常に消す場合と、消すはずの IP アドレスが消えずに増え続ける場合があるのです。

同じルール番号を用いていたので、sshd と popd の場合でルール番号を分けることでも対処は可能でしょうが、今回は bfcheck.sh を以下の内容で用意し、crontab -e では単に

*/1 * * * * /home/tools/bfcheck.sh 2>/dev/null

とだけ呼ぶ様にしました。

#!/bin/sh

    /home/tools/bfcheck.pl 2>/dev/null
    /home/tools/bfcheck.pl -p 2>/dev/null

まだ運用開始してい間もないので、経過観察は続けてみます。そのうち、ftpd や sendmail 向けの機能拡張も必要となる気はしています。

Random Select

アジフライ定食 (ライス 大)
柏や (豚肉生姜焼定食) の続きです。今日はアジフライ定食と決めていました。到着した時間がお昼真っ只中 12:30 頃だったので、さすがに座れないかなと思いきや、昨日の様にほぼ満席でありながらも座れま
瀬底大橋 (2)
沖縄本島 (No. 3 – 本部港 Part 2) の続きです。出発して 2 分程で、あっと言う間に瀬底大橋が迫って来ました。さらにまた 1 分程経過。渡ったことは 2, 3 度ありますが
立山連峰 (4)
富山出張 (No. 4 ? スターバックス コーヒー 富山環水公園店) の続きです。出張 2 日目は移動日として東京に帰りました。初日に富山空港の外に出た瞬間に気が付きましたが、正面一帯に立山連峰が見
iPhone 6 Plus (Gold)
iPhone 6 Plus (開封) の続きです。スマートフォン利用の最大の目的は、PC を持たずに障害対応の初動調査をする点です。そのため、iPhone 6 Plus (機種変更) で渡された iP
Herb
セールスメモ (No. 1) の続きです。以前社内で開催されたセールス・プロモーションに関する勉強会の内容を整理してみました。事例 -> 拡販リスティング広告以前に SEO 対策が必要。インター
Drive Network Philosophy
Drive Network のこだわり (SSL 証明書) に続いてご紹介。一般的なお客様にはなじみが薄いかもしれませんが、2004 年頃には Web サイトと Web ブラウザの通信の暗号化以外にも
とり唐揚定食 (ご飯大盛り)
現在足立区綾瀬に住んで 6 年が過ぎましたが、この地に引っ越してきて実に良かったことの 1 つは、味安 を見つけたことです。地元ではかなりの有名店の様です。すでに 30 年以上もこの地で続けているとか
FreeBSD Logo
携帯電話を ARROWS X F-10D に変更した後、調査不足かもしれませんが写真の解像度が 3M か 13M しか選択出来なくなりました。3M では以前使用していた X06HTII よりも劣るため
琥珀ヱビス + 超クリーミー泡サーバー
普段は ザ・プレミアム・モルツ を好んで飲みつつ、たまに YEBISU ヱビスビール を飲むことがありますが、秋はさらに楽しみが増えて 琥珀ヱビス が発売されます。最初の新発売が 4, 5 年前と思っ
FreeBSD Logo
Becky! では "スレッド表示" している場合、メールの見出しを右クリック -> スレッドツールで親メールに該当のメールを子どもとしてひも付ける機能があります。Gmail
Valid HTML5 Valid CSS3 Another HTML Lint