התקפות Brute force

[Jonathan Zeierman]

אהלן
לאחרונה אני חווה התקפות brute force על השרת שלי.
התקנתי פירוול ל-DA (http://help.directadmin.com/item.php?id=380)
וחסמתי את כל האייפים שמנסים לגשת מצורפת תמונה ----> http://srv2.jpg.co.il/2/550291ca5f248.jpg
אבל אני עדיין מקבל הודעות של ניסיונות תקיפה.
השאלה שלי היא כזאת:
1. איך אני יודע שהפירוול בעצם באמת חוסם את הIP האלה?
2. במידה והפירוול חוסם האם אני אמור להמשיך לקבל הודעות על ניסיונות תקיפה או לא?
תודה.

[Kernel]

רובוטים תמיד סרקו/סורקים/יסרקו כתובות אייפי מישראל,
תחסום את הגישות הרלוונטיות לכתובות אייפי מורשות וזהו.

[Jonathan Zeierman]

תודה על התגובה.
אגב השרת לא ממוקם בארץ.
אני מקווה שאני מבין נכון אני צריך לחסום את הגישות ssh שלי ל-IP מסוים שממנו אני רוצה להיכנס?
טוב אז נגיד ככה:
עורך קובץ - /etc/hosts.allow
ומכניס בו לדוגמא:

sshd: 10.1.1.10
sshd: 10.1.1.11

עורך קובץ - /etc/hosts.deny
ומכניס בו:

sshd: all

ואז מכניס חוקים ל-iptables?
לדוגמא:

iptables -A INPUT -p tcp -s 10.1.1.10 --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --destination 10.1.1.10 -j ACCEPT
iptables -A INPUT -p tcp -s 10.1.1.11 --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --destination 10.1.1.11 -j ACCEPT

האם הדרך שלי נכונה?

[Tomer]

במידה ואתה מפעיל פיירוואל, אפשר לוותר על ה hosts.allow/deny.

[Jonathan Zeierman]

אז איך אני בעצם יודע שהפירוול חסם אותם? כי הוא ממשיך לשלוח לי הודעות על ניסיונות.

A brute force attack has been detected in one of your service logs.

User root has 57342 failed login attempts: pure-ftpd1=1 & sshd5=57341

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

A brute force attack has been detected in one of your service logs.

IP 221.203.3.18 has 1044 failed login attempts: sshd5=1044

Check 'Admin Level -> Brute Force Monitor' for more information
http://help.directadmin.com/item.php?id=404

למרות שה-IP כאן חסום עדיין מקבל התראה לניסיונות..

[Tomer]

הכנסת את החוק כ- DROP, נכון?

בדוגמה רשמת ACCEPT.

[Jonathan Zeierman]

לא עשיתי כמו שבדוגמה למעלה.
רשמתי ככה:

iptables -A INPUT -s 221.203.3.18 -j DROP

ואז שמרתי service iptables save

[Tomer]

תבדוק שהחוק קיים. אם כן, לדעתי הפאנל פרסר באיחור את הלוגים ושלח את ההודעה, לא בהכרח שהניסיונות ממשיכים.

iptables -L -v -n

[Jonathan Zeierman]

החוק קיים.
אבל לצערי אני מקבל עוד התראות מ-IP שונים.
איך אפשר להמנע מזה בצורה יעילה יותר מאשר להוסיף כל הזמן IP לחסימה?

[Tomer]

ללכת הפוך. אתה יכול לחסום את ה- SSH (לצורך העניין) לכתובות מורשות בלבד ולחסום את היתר.