Re: tentative Force Brute sur mon ftp

[Jérémy Verda <spam@v-jeremy.net>]

Bonsoir,

Il me semble que Fail2ban te permet de bloquer des ip tentant trop
d'essais infructueux :

Voilà ce que je lis comme description dans mon gestionnaire de paquet :

"bans IPs that cause multiple authentication errors

Monitors log files (e.g. /var/log/auth.log,
 /var/log/apache/access.log) and temporarily or persistently bans
failure-prone addresses by updating existing firewall rules. The
software was completely rewritten at version 0.7.0 and now allows
easy specification of different actions to be taken such as to ban an
IP using iptables or hostsdeny rules, or simply to send a
notification email. Currently, by default, supports ssh/apache/vsftpd
but configuration can be easily extended for monitoring any other ASCII
file. All filters and actions are given in the config files, thus
fail2ban can be adopted to be used with a variety of files and
firewalls."

Cordialement,

Jérémy

Pierre a écrit :
> Bonjour à tous,
> 
> Il y a quelques jours,  j'ai installé un serveur FTP (proftpd).
> Depuis, pratiquement chaque jour, je fais l'objet de 1 ou 2 attaques de
> type brute force (Chine, Allemagne, US - si j'en crois les IP affichées
> dans les logs proftpd), qui jusqu'à maintenant n'ont heureusement pas
> abouti.
> Pour le moment, je me suis contenté d'ajouter une chaîne iptables pour
> dropper les ip concernés, mais bon, je ne vais pas passer mon temps à
> trier les logs (aujourd'hui plus de 120000 lignes...) pour rajouter des
> filtres à la main.
> Donc, j'ai regardé la doc de proftpd (rapidement), je n'ai pas vu la
> possibilité de "bruler" une adresse ip.
> J'amagine que l'idéal serait d'utiliser un produit capable de détecter
> un trop grand nombre d'essais infructueux et de bloquer les adresses en
> question, mais je ne sais trop dans quelle direction chercher (Snort?)
> 
> Merci d'avance pour vos idées, suggestions et conseils.
> 
> Ah encore une question (Peut-on considérer que les adresses utilisées
> pour m'attaquer (211.90.25.230, 69.94.8.15, 212.40.162.11) sont de vrais
> adresses, ou bien des adresses usurpées ?
> 
> 
> 

-- 

Blog : http://blog.v-jeremy.net

begin:vcard
fn;quoted-printable:J=C3=A9r=C3=A9my Verda
n;quoted-printable:Verda;J=C3=A9r=C3=A9my
email;internet:spam@v-jeremy.net
x-mozilla-html:FALSE
url:http://blog.v-jeremy.net
version:2.1
end:vcard