Re: libssh-Bruteforcer in IPTABLES Chain bannen

[Thomas Antepoth <debian@antepoth.de>]

On Wed, 30 Mar 2005, Bruno Hertz wrote:

> Vielleicht lohnt auch mal ein Blick auf http://blog.andrew.net.au/2005/02/17

Ausgezeichnet! Danke noch!

Also frisch von der Seite gestohlen und nachdokumentiert:

== cut ==
# Whitelistenfüllen findet so statt:
iptables -N SSH_WHITELIST
iptables -A SSH_WHITELIST -s $TRUSTED_HOST -m recent --remove \
--name SSH -j ACCEPT

# Es wird eine Regel für neue Connections erstellt, die für 
# Port 22/tcp gilt:
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set \
--name SSH

# Anschließend wird eine Whitelist ausgewertet, und wenn dort ein Hit
# stattfindet, wird die Bearbeitung beendet und die Connection zugelassen.
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_WHITELIST

# Der hier ist nifty, dient aber so wie ich sehe nur zum Loggen von 
# dem Event, daß ein ssh-Brute-Forcer gerade an der Arbeit war.
iptables -A INPUT -p tcp --dport 22 -m state --state NEW \
-m recent --update --seconds 60 --hitcount 4 --rttl \
--name SSH -j ULOG --ulog-prefix SSH_brute_force

# Der hier dropped dann die Connection, wenn mehr als 4/Minute
# stattfinden. Was unzweifelhaft bei einer libssh-Attacke der Fall ist.
iptables -A INPUT -p tcp --dport 22 -m state --state NEW \
-m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j DROP

== cut ==

Soweit verstanden. Aber diese Module sind sicherlich nicht in:

ii  iptables              1.2.11-8

enthalten, oder?


	t++