Home » FreeBSD » FreeBSD Brute Force Attack Counter Tool (No. 2) (Tag: )

FreeBSD Brute Force Attack Counter Tool (No. 1) の続きです。

ハッシュリファレンスを多用しています。理解している前提で書いているので予めご了承ください。

処理概要

  • 毎分 /var/log/auth.log (sshd), /var/log/poplog (popd) に出力した Failed password の行から IP アドレスを抽出し、
  • 所定の場所 ($item->{target0}, $item->{target1}) に記録、
  • 一定回数 $item->{mistime} を超えた場合は
  • ipfw add 00101 deny ip from [ipaddr] to any で遮断し
  • 一定時間 $item->{expire} を経過後解放。

所定の場所に出力されるサンプルは以下の通りです。実際の出力から 1, 2 オクテットのみプライベート IP アドレスに変更していますが、ニュアンスは伝わるでしょう。

last_line               2267195
2012/10/02 19:20:04     10.10.59.71    7       -
2012/10/02 19:20:04     10.10.75.90    8       -
2012/10/02 19:20:04     10.10.246.33   2       -
2012/10/02 19:20:04     10.10.121.198  2       -
2012/10/02 19:22:02     10.10.75.90    9       -
2012/10/02 19:44:01     10.10.75.90    10      add
2012/10/02 20:14:01     10.10.75.90    0       expire
2012/10/02 20:28:01     10.10.75.90    1       -
2012/10/02 20:30:01     10.10.207.240  1       -
2012/10/02 20:34:01     10.10.75.90    2       -
2012/10/02 20:43:02     10.10.75.90    3       -
2012/10/02 20:56:01     10.10.75.90    4       -
2012/10/02 21:02:01     10.10.75.90    5       -
2012/10/02 21:04:01     10.10.75.90    6       -
2012/10/02 21:10:01     10.10.75.90    7       -
2012/10/02 22:40:01     10.10.139.161  2       -
2012/10/02 23:15:03     10.10.248.211  972     add
2012/10/02 23:24:02     10.10.98.192   1       -
2012/10/02 23:27:02     10.10.207.240  3       -
2012/10/02 23:29:01     10.10.207.240  4       -
2012/10/02 23:30:02     10.10.207.240  6       -
2012/10/02 23:46:02     10.10.248.211  0       expire

10.10.75.90 は正規のユーザが "おっかしいな。。" と言いながら何度か試している可能性はありますが、10.10.248.211 のケースが総当たり攻撃の典型です。

popd 改修

今回は FreeBSD の ports に収録されている /usr/ports/mail/popd/ を、 sshd 同様 poplog に Failed password の行が出力する様に修正する点がポイントです。

これにより、大半のサブルーチンは兼用することが出来ます。今回は引数なしで実行すれば sshd (/var/log/auth.log) を、-p 付きで実行する場合は popd (/var/log/poplog) を監査する様にしました。

実際 bfcheck.pl 側を sshd だけでなく popd に対応させる修正は、$item の target0, target1 や dir0, dir1 とログファイルや監査結果の出力先ディレクトリの分岐と、71 – 81 行目の分岐でほぼ終了です。

popd 側の修正はまだ完全とは言えない可能性があるので、ポイントのみ。

  • popd.c の終端の switch 文で、case FALSE, case QUIT の場合に syslog(facility, “Failed password for null from %s”, inet_ntoa(addr.sin_addr)); の様に追記。IPv6 に対応する場合は case TRUE の分岐を参考に。
  • 必須ではないが、authenticate.c の終端 case PASS: で if (counter == 4) の 4 を sshd_config の MaxAuthTries と揃えて変更。

これで、sshd の場合と同じ条件で認証し、失敗時の出力も 340 行目の様になり、sshd か popd のみの違いとなります。

当初は ipfw でなく /etc/hosts.allow で

当初は /etc/hosts.allow に deny で追加・解放していましたが、この場合では懲りずに通信を続ける場合は負荷を避けることが出来ないことが分かりました。

ipfw と違いルール番号を気にしなくて良いので、手軽に始めたことがきっかけですが、Refused … と出ていても通信を止めないクライアントが結構多いのです。

そのため、ipfw で遮断する方針に切り替えました。効果はてきめんです。

ルール番号と登録ポリシーや、ipfw でなく pf に変更等応用は効くと思いますが、cron で実行する場合には工夫も必要です。

cron からはラッパースクリプトで直列起動

当初 crontab -e で

*/1 * * * * /home/tools/bfcheck.pl 2>/dev/null
*/1 * * * * /home/tools/bfcheck.pl -p 2>/dev/null

の様に登録しましたが、ipfw のルール変更で実に不思議な動きをしました。正常に消す場合と、消すはずの IP アドレスが消えずに増え続ける場合があるのです。

同じルール番号を用いていたので、sshd と popd の場合でルール番号を分けることでも対処は可能でしょうが、今回は bfcheck.sh を以下の内容で用意し、crontab -e では単に

*/1 * * * * /home/tools/bfcheck.sh 2>/dev/null

とだけ呼ぶ様にしました。

#!/bin/sh

    /home/tools/bfcheck.pl 2>/dev/null
    /home/tools/bfcheck.pl -p 2>/dev/null

まだ運用開始してい間もないので、経過観察は続けてみます。そのうち、ftpd や sendmail 向けの機能拡張も必要となる気はしています。

Random Select

インド風カレー (インドカレー)
最近松戸に引っ越した友達が、松戸駅周辺のディープな感じのお店を投稿していました。そのうちの 1 つが カレー専門店 印度 です。松戸駅は、月 1 回程不定期に船橋を訪れる際に通過するだけで降りる機会は
つけ麺 大盛 + チャーシュー 2 倍
出張の少し前に Facebook で 麺処 鍵 〜KAGI〜 に数人で同時にチェックインしているのを見て知りました。チェックインするとトッピングが 1 品無料になるとか。それはともかく、てだこ RAM
根夢
10, 11 月は猛烈に忙しかったので、落ち着いた気持ちで整理して記事にしたいと思っていましたが、気が付けば年末です。10 月は連休を使って久しぶりに出張以外で沖縄を訪れました。前半は 沖縄出張 (N
2013/01/14 14:00 羽田空港
沖縄出張 (No. 14 ? 欠航 Part 2) の続きです。充電避難と振り替え手続き地下まで降りてようやくマクドナルドで空席を見つけました。着席して 10 分程でコンセントの空きが出来たので、手持
brochure.pdf (PDF.js Viewer)
すでにお気づきの方も多いですし対処方法も多々報告されている様ですが、Firefox 19 から、PDF ファイルの表示に違和感を感じました。ウィンドウ自体のデザインが変わっただけでなく、フォントも変で
ワイルドステーキ 300g (2)
銀座 4 丁目に一号店をオープンした いきなり ! ステーキ がオフィスのそばにも出店していると知って、早速訪れました。フードスタジアム — 新・外食ウォーズ — 【新・外食ウ
らーめん 中 (ほうれん草増 + トッピング きゃべつ)
綾瀬に住んで 7 年以上になりますが、自転車で 5 分程度の距離にある 横浜らーめん武蔵家 はとなりが 松屋 ということもあって存在自体は知っていましたし、3 回程度は入ったことがありました。最後に食
よなよなエール
最寄の綾瀬駅前にはイトーヨーカドーと 東急ストア があり、普段生鮮食品は地下に降りなくて済む東急ストアで済ませます。ここの惣菜が美味しいのはまた別の機会として、ある日ふとあまり見掛けないビールが置いて
ESXi 5.1 ? Install or Updrade (F1 Details)
VMware ESXi 5.1 Install (ESXi Found – RAID5 ディスク初期化) の続きです。RAID1 を構成するハードディスクの初期化した本数により、VMwar
岸本そば 大 + じゅーしー
今回の出張も土・日を含んでいます。数人で日曜日に北部に繰り出すこととなりました。一番の目的は北部ですでに咲いている桜を見ることです。内地の桜とは違い、かなりピンク色が濃いとは聞いていますし、2 月には
Valid HTML5 Valid CSS3 Another HTML Lint