Ralentir les tentatives d'attaques brutes force sur SSH sous Linux
Par Fred le vendredi 10 avril 2009, 12:08 - Lien permanent
Mea culpa jpc je t'ai affirmé dans mon article sur la façon de ralentir les attaques brute force sous OpenBSD que la même chose n'était pas possible sous Linux !
Et bien si c'est possible.
Il faut charger le module ipt_recent
et faire quelque chose comme cela :
/sbin/iptables -A INPUT -i eth0 \
-m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -i eth0 \
-p tcp --dport 22 \
-m state --state NEW \
-m recent --update --seconds 3600 --hitcount 5 \
--name SSH --rsource
-j DROP
/sbin/iptables -A INPUT -i eth0 \
-p tcp -m tcp --dport 22 \
-m state --state NEW \
-m recent --update --seconds 60 --hitcount 1 \
--name SSH --rsource \
-j DROP
/sbin/iptables -A INPUT -i eth0 \
-p tcp -m tcp --dport 22 \
-m state --state NEW \
-m recent --set --name SSH --rsource \
-j ACCEPT




Commentaires
Bah tu vois. C'est ce que j'utilise. Je suis plus méchant que ça en fait car ce n'est pas ciblé sur un port en particulier mais de manière générale. Si une IP est trop insistante en TCP ou UDP elle se fait mettre en 40aine pdt un certain temps. Je n'ai jamais testé mais il arrive parfois de voir dans les logs des traces qui m'indique que certains se sont faits boulés :)...
Bien le bonjour,

Un truc qui fonctionne aussi très s'appelle Fail2ban
Et ça marche avec plein de serveur (apache, postfix...)
Ensuite il suffit de jouer avec les expressions régulières...
En gros, ça analyse les logs et bannis un certain temps.
http://www.fail2ban.org/wiki/index....
Bonne journée et merci pour cet article
CiaO ++