Comments on: Using iptables to prevent SSH brute force

By: Arkady

Arkady — Wed, 11 Nov 2009 15:32:23 +0000

Мне больше всего нравится http://denyhosts.sourceforge.net/
Он сканирует auth.log и через tcp-wrapers блокирует хост.

By: squirL

squirL — Sat, 18 Jul 2009 11:07:45 +0000

вот только злые боты – брутфорсят с ботнетов. адреса разные, т. е. за промежуток времени – никто не делает более 5 попыток. я, обычно, просто перевешиваю ssh на другой порт :)

By: crud

crud — Tue, 23 Jun 2009 11:31:34 +0000

# занесенные в whitelist IP
for I in 88.81.251.200 88.81.251.194 213.227.195.211; do

# Пишем в лог
$IPTABLES -A SSH_BF -j LOG –log-prefix “SSH Brute Force Attempt: ”

By: crud

crud — Tue, 23 Jun 2009 11:27:24 +0000

как вариант также можно использовать следующую конструкцию
$IPTABLES -F
$IPTABLES -A INPUT -p tcp –dport 22 -m state –state NEW -m recent –set –name SSH
$IPTABLES -N SSH_WHITELIST
$IPTABLES -N SSH_BF
$IPTABLES -A INPUT -p tcp –dport 22 -m state –state NEW -j SSH_WHITELIST
for I in 88.81.251.200 88.81.251.194 213.227.195.211; do
$IPTABLES -A SSH_WHITELIST -s $I -m recent –remove –name SSH -j ACCEPT
done
$IPTABLES -A INPUT -p tcp –dport 22 -m state –state NEW -m recent –name SSH –set –rsource -j SSH_BF
$IPTABLES -A SSH_BF -m recent ! –rcheck –seconds 60 –hitcount 3 –name SSH –rsource -j RETURN
$IPTABLES -A SSH_BF -j LOG –log-prefix “SSH Brute Force Attempt: ”
$IPTABLES -A SSH_BF -p tcp -j DROP

Здесь есть йункционеал занесения IP атакующего в лог (/var/log/messages) а также организатор whitelist в виде цикла. Как фишка IP в чёрном листе флушаются через 60 секунд.