IDS, IPS, firewall

Раньше я показывал, как в две строки предотвратить риск брутфорсной атаки на SSHd. К сожалению, метод не универсальный, хотя и очень простой.

Но это не беда, ибо есть такая тулза как Fail2Ban

Fail2ban is an open-source intrusion prevention system that can be used to prevent brute force attacks and other suspicious malicious attacks. It scans log files (e.g. /var/log/apache/error_log) and bans IP’s that show the malicious signs such as too many password failures, seeking for exploits etc.

Generally Fail2Ban then used to update firewall rules to reject the IP addresses for a specified amount of time, although any arbitrary other action (e.g. sending an email, or ejecting CD-ROM tray) could also be configured. Out of the box Fail2Ban comes with pre-configured filters for various services (Apache, curier, SSH etc.)

- See more at: http://www.unixmen.com/how-to-prevent-ssh-brute-force-attacks-with-fail2ban-on-debian-7/#sthash.JlUkjM4h.dpuf

Fail2ban может находить в логах разных служб свидетельства возможных атак, после чего обновлять правила iptables для блокировки источников этих атак.

В статье http://www.unixmen.com/how-to-prevent-ssh-brute-force-attacks-with-fail2ban-on-debian-7/

показано, на примере защиты SSHd, как установить, настроить и использовать Fail2ban.

http://www.fail2ban.org/wiki/index.php/Main_Page

original post http://vasnake.blogspot.com/2014/02/ids-ips-firewall.html