sshguard im Vergleich mit fail2ban (war: Re: Attacken auf ssh-Server)

[Martin Steigerwald <martin@lichtvoll.de>]

Hi.

Alexander Reichle-Schmehl - 21.06.19, 10:23:
> Am 2019-06-21 09:46, schrieb Norbert Preining:
> > sshguard, oder ssh auf einen anderen Port legen.
> 
> Das kannte ich noch gar nicht. Weiß zufällig jemand, wie sich sshguard
> mit fail2ban vergleichen lässt?

Ich verwende auch sshguard.

Bezüglich SSH funktioniert es zuverlässig. Es soll eigentlich auch mit 
Dovecot funktionieren, aber irgendwie habe ich den Eindruck, dass das 
auf meinem Server nicht klappt.

Ich wählte sshguard weil es ein relativ kleines in C geschriebenes 
Programm ist und kaum Abhängigkeiten hat. Für SSH reicht außerdem, es 
einfach nur zu installieren.

Es unterstützt jedoch weniger Dienste und Funktionen. Gerade da sshguard 
bei mir bislang mit Dovecot nicht zu funktionieren scheint, dachte ich 
daran, zumindest auf dem Server wo Dovecot läuft, fail2ban laufen zu 
lassen. Denn auf Dovecot hab ich immer wieder Brute Force-Attacken. Ich 
habe daher die Woche alle Passwörter vorsorglich durch deutlich längere 
Passwörter ausgetauscht. Für Apache reicht mir bislang mod-evasive.

Ein Artikel im ArchLinux Wiki fasst das schön zusammen:

"sshguard is different from the latter in that it is written in C, is 
lighter and simpler to use with fewer features while performing its core 
function equally well. "

Dort steht auch: "sshguard is not vulnerable to most (or maybe any) of 
the log analysis vulnerabilities that have caused problems for similar 
tools. ". Der Link in dem Satz zeigt jedoch mittlerweile ins Leere. Das 
würde mich aber mal interessieren, was damit gemeint ist. Im Moment aber 
nicht genug, um danach extra zu suchen.

Ciao,
-- 
Martin