FreeBSD:n suojauksen parantaminen IPFW:n ja SSHGuardin avulla

VPS-palvelimet ovat usein tunkeilijoiden kohteena. Yleinen hyökkäystyyppi näkyy järjestelmälokeissa sadoina luvattomina ssh-kirjautumisyrityksinä. Palomuurin määrittäminen on erittäin hyödyllistä, mutta se ei välttämättä pysty hallitsemaan riittävästi häiritseviä tunkeutumisyrityksiä.

Tämä opetusohjelma näyttää kuinka rakentaa parannettu tunkeutumisen esto FreeBSD:lle käyttämällä kahta ohjelmaa, ipfwpalomuuria ja sshguard. SSHGuard on pieni lisäohjelma, joka tarkkailee järjestelmälokeja "väärinkäyttöisten" merkintöjen varalta. Kun rikkojat yrittävät päästä käsiksi, sshguardohjeistaa ipfwestämään rikoksentekijän IP-osoitteesta peräisin olevan liikenteen. Rikoksentekijä suljetaan sitten tehokkaasti ulos.

Kun näiden ohjelmien toiminta on ymmärretty, palvelimen suojauksen hallinta on melko yksinkertaista. Vaikka tämä opas keskittyy FreeBSD:n konfigurointiin, osa siitä koskee muita käyttöjärjestelmiä ja palomuuriohjelmistoja.

Vaihe 1. IPFW:n määrittäminen

FreeBSD tarjoaa 3 palomuuria oletusytimessä ( GENERIC) ipfw, pf, ja ipfilter. Jokaisella on etuja ja faneja, mutta se ipfwon FBSD:n alkuperäinen palomuuriohjelmisto ja melko yksinkertaista käyttää tarkoituksiinmme. On syytä huomata, että se ipfwtekee monia asioita, kuten sen man-sivu näyttää, mutta ominaisuuksia, kuten NAT, liikenteen muokkaaminen jne., ei tarvita tyypillisessä VPS-tilanteessa. Onneksi palomuurin perusominaisuudet täyttävät helposti vaatimukset.

Jos haluat käynnistää palomuurin käynnistyksen yhteydessä, lisää seuraava kohtaan /etc/rc.conf:

firewall_enable="YES"
firewall_script="/usr/local/etc/IPFW.rules"
firewall_logging="YES"

serviceKomento on käytettävissä käynnistää / pysäyttää palomuuri manuaalisesti:

[user@vultr ~]$ sudo service ipfw start

Tietenkään ipfwei tee mitään, ennen kuin se lisää sääntöjä, usein tiedostosta, tässä esimerkissä osoitteessa /usr/local/etc/IPFW.rules. Sääntötiedosto voi itse asiassa sijaita missä tahansa tai sillä voi olla mikä tahansa nimi, kunhan se vastaa "firewall_script"-parametria. Sääntötiedosto kuvataan yksityiskohtaisesti alla.

Vaihe 2. Asenna ja määritä SSHGuard

sshguardsaatavana useissa eri malleissa käytettäväksi eri palomuurien kanssa. Käytä pkgapuohjelmaa hakemiseen ja asentamiseen sshguard-ipfw:

[user@vultr ~]$ sudo pkg install sshguard-ipfw

Useimmissa tapauksissa se on kaikki mitä tarvitsee tehdä. Sopiva muuttuja lisätään automaattisesti /etc/rc.confkäynnistyksen yhteydessä:

sshguard_enable="YES"

Oletusasetukset toimivat normaalisti hyvin. Jos eri arvot ovat tarpeen, sshguardman-sivulla on yksityiskohtaista tietoa parametreista:

# sshguard--program defaults, so don't need to be in rc.conf unless assigning different value
# sshguard_pidfile="/var/run/sshguard.pid"
# sshguard_watch_logs="/var/log/auth.log:/var/log/mail"
# sshguard_blacklist="40:/var/db/sshguard/blacklist.db"
# sshguard_safety_thresh="40"
# sshguard_pardon_min_interval="420"
# sshguard_prescribe_interval="1200"

Voit aloittaa sshguardtavallisella servicekutsulla:

[user@vultr ~]$ sudo service sshguard start

Vaihe 3. Luo sääntöskripti

Vaikein osa on palomuurin sääntöjen luominen. ipfwvoi käyttää toimitettua /etc/rc.firewallkomentosarjaa, mutta sitä on muokattava SSHGuardin sekä erilaisten toimintaskenaarioiden mukaiseksi. Useilla verkkosivuilla ja FreeBSD-oppaassa on hyödyllistä tietoa tämän tekemisestä. Sääntötiedoston kirjoittaminen ei kuitenkaan ole niin vaikeaa, lisäksi mukautettu sääntö voi olla helpompi ymmärtää ja tarvittaessa muuttaa.

ipfwSääntöjen tärkeä piirre on, että ensimmäinen ottelu voittaa, mikä tarkoittaa, että sääntöjen järjestys on tärkeä. In ipfw, jokainen sääntö on komento, ja sääntö on suoritettava tiedosto komentotulkkiskripti. Tämä mahdollistaa sääntöjoukon muuttamisen muuttamalla sääntöjä ja suorittamalla sitten sääntötiedoston komentotulkkikomentosarjana:

[user@vultr /usr/local/etc]$ sudo ./IPFW.rules

Yleensä sääntötiedosto määrittelee muuttujan ipfwkomennolle, tyhjentää sitten nykyiset säännöt, antaa yleiset säännöt ja jatkaa sitten "out"-sääntöjen asettamista ja sitten "in"-sääntöjä. IPfw:n käsikirjasivu ja muut resurssit sisältävät runsaasti tietoa sääntörakenteesta ja vaihtoehdoista, joita on vähintäänkin useita.

Koska FreeBSD sshguard -versio on päivitetty versioon 1.6.2, tapa lisätä estosääntöjä rikkojille on muuttunut. Nyt rikosten tekijöiden osoitteet säilytetään ipfw-taulukossa (taulukko 22 tarkempina), sen sijaan, että ne olisi lisätty sääntöihin 55000:n yläpuolella, kuten ennen.

Onneksi sääntötiedoston määrittäminen taulukon käyttöä varten on melko helppoa. On vain asetettava taulukkosääntö oikeaan paikkaan ja varmistettava, että käytät oikeaa syntaksia sääntöä kirjoitettaessa.

Kun se sshguardlöytää rikoksentekijän, se lisää rikoksentekijän osoitteen mustalle listalleen ja lisää osoitteen myös ipfwtaulukkoon, jolloin se "laukaisee" pääsyn eston. Tällä säännöllä saavutetaan seuraavat tarkoitukset:

01000 deny ip from table\(22\) to any

Tässä tapauksessa on silti tarpeen asettaa säännöt, jotka sallivat saapuvat palvelut yli 01000. Oletetaan esimerkiksi, että osoite 10.20.30.40on rikoksentekijä taulukossa 22, ja meillä on tämä ipfw-sääntö:

56420 allow tcp from any to me dst-port 22 in via $vif

Koska ipfwkohtaa säännön 01000 ennen sääntöä 56420 , 10.20.30.40on estetty . "Salli 22 tuumaa" -sääntö ei koskaan näe sitä ollenkaan. Jos sallitussa säännössä olisi "tavallinen" numero, kuten 00420 , huono liikenne päästetään sisään eikä sitä koskaan estetty (koska 00420 on pienempi kuin 01000 ja "ensimmäinen ottelu voittaa").

Hieno ominaisuus päivitetyssä versiossa on, että nyt kun sshguard käynnistyy, kaikki mustalla listalla olevat osoitteet lisätään taulukkoon ja ne ovat käytettävissä estämään saapuvat rikolliset viipymättä. Musta lista on kumulatiivinen ja säilytetään istuntojen välillä.

Tässä vaiheessa on luultavasti järkevää näyttää täydellinen ipfwsääntöjoukko muutettuna sshguard. Kommenttien pitäisi tehdä sääntölogiikan noudattamisesta melko helppoa:

#!/bin/sh

# ipfw config/rules
# from FBSD Handbook, rc.firewall, et. al.

# Flush all rules before we begin.
ipfw -q -f flush

# Set rules command prefix
cmd="ipfw -q add "

vif="vtnet0"

# allow all for localhost
$cmd 00010 allow ip from any to any via lo0

# checks stateful rules.  If marked as "keep-state" the packet has
# already passed through filters and is "OK" without futher
# rule matching
$cmd 00101 check-state

# allow DNS out
$cmd 00110 allow tcp from me to any dst-port 53 out via $vif setup keep-state
$cmd 00111 allow udp from me to any dst-port 53 out via $vif keep-state

# allow dhclient connection out (port numbers are important)
$cmd 00120 allow udp from me 68 to any dst-port 67 out via $vif keep-state

# allow HTTP HTTPS replies
$cmd 00200 allow tcp from any to any dst-port 80 out via $vif setup keep-state
$cmd 00220 allow tcp from any to any dst-port 443 out via $vif setup keep-state

# allow outbound mail
$cmd 00230 allow tcp from any to any dst-port 25 out via $vif setup keep-state
$cmd 00231 allow tcp from any to any dst-port 465 out via $vif setup keep-state
$cmd 00232 allow tcp from any to any dst-port 587 out via $vif setup keep-state

# allow icmp re: ping, et. al. 
# comment this out to disable ping, et.al.
$cmd 00250 allow icmp from any to any out via $vif keep-state

# alllow timeserver out
$cmd 00260 allow tcp from any to any dst-port 37 out via $vif setup keep-state

# allow ntp out
$cmd 00270 allow udp from any to any dst-port 123 out via $vif keep-state

# allow outbound SSH traffic
$cmd 00280 allow tcp from any to any dst-port 22 out via $vif setup keep-state

# otherwise deny outbound packets
# outbound catchall.  
$cmd 00299 deny log ip from any to any out via $vif

# inbound rules
# deny inbound traffic to restricted addresses
$cmd 00300 deny ip from 192.168.0.0/16 to any in via $vif
$cmd 00301 deny ip from 172.16.0.0/12 to any in via $vif
$cmd 00302 deny ip from 10.0.0.0/8 to any in via $vif
$cmd 00303 deny ip from 127.0.0.0/8 to any in via $vif
$cmd 00304 deny ip from 0.0.0.0/8 to any in via $vif
$cmd 00305 deny ip from 169.254.0.0/16 to any in via $vif
$cmd 00306 deny ip from 192.0.2.0/24 to any in via $vif
$cmd 00307 deny ip from 204.152.64.0/23 to any in via $vif
$cmd 00308 deny ip from 224.0.0.0/3 to any in via $vif

# deny inbound packets on these ports
# auth 113, netbios (services) 137/138/139, hosts-nameserver 81 
$cmd 00315 deny tcp from any to any dst-port 113 in via $vif
$cmd 00320 deny tcp from any to any dst-port 137 in via $vif
$cmd 00321 deny tcp from any to any dst-port 138 in via $vif
$cmd 00322 deny tcp from any to any dst-port 139 in via $vif
$cmd 00323 deny tcp from any to any dst-port 81 in via $vif

# deny partial packets
$cmd 00330 deny ip from any to any frag in via $vif
$cmd 00332 deny tcp from any to any established in via $vif

# allowing icmp re: ping, etc.
$cmd 00310 allow icmp from any to any in via $vif

# allowing inbound mail, dhcp, http, https
$cmd 00350 allow udp from any 53 to me in via $vif
$cmd 00360 allow tcp from any 53 to me in via $vif
$cmd 00370 allow udp from any 67 to me dst-port 68 in via $vif keep-state

$cmd 00400 allow tcp from any to me dst-port 80 in via $vif setup limit src-addr 2
$cmd 00410 allow tcp from any to me dst-port 443 in via $vif setup limit src-addr 2

# SSHguard puts offender addresses in table 22. Set up the table rule
# Please note the '\(22\)' syntax, necessary since it's run as shell command
$cmd 01000 deny ip from table\(22\) to any

# allow inbound ssh, mail. PROTECTED SERVICES: numbered ABOVE sshguard blacklist range 
$cmd 56420 allow tcp from any to me dst-port 22 in via $vif setup limit src-addr 2
$cmd 56530 allow tcp from any to any dst-port 25 in via $vif setup keep-state
$cmd 56531 allow tcp from any to any dst-port 465 in via $vif setup keep-state
$cmd 56532 allow tcp from any to any dst-port 587 in via $vif setup keep-state

# deny everything else, and log it
# inbound catchall
$cmd 56599 deny log ip from any to any in via $vif

# ipfw built-in default, don't uncomment
# $cmd 65535 deny ip from any to any

Vaihe 4. Käynnistys ja testaus

Järjestelmän tarpeet vaihtelevat, ja erilaiset porttivalinnat estettäväksi tai poistamiseksi näkyvät säännöissä. Kun sääntösarja on valmis, tallenna tiedosto osoitteeseen /usr/local/etc/IPFW.rulesja käynnistä FBSD-palvelut:

 # service ipfw start
 # service sshguard start

Lisätyn palomuurin pitäisi nyt olla käynnissä! Tarkista sshguard:

 [user@vultr ~]$ sudo pgrep -lfa ssh

Jos sshguardon käynnissä, sen pid ja koko komentorivi näytetään:

720 /usr/local/sbin/sshguard -b 40:/var/db/sshguard/blacklist.db -l /var/log/auth.log -l /var/log/maillog -a 40 -p 420 -s 1200 -w /usr/local/etc/sshguard.whitelist -i /var/run/sshguard.pid

Tämä näyttää palomuurisäännöt tilastoineen ja viimeisen kerran, kun paketti vastasi sääntöä:

 [user@vultr ~]$ sudo ipfw -cat list

Tuntien tai päivien kuluttua rikosten tekijöiden osoitteet lisätään mustalle listalle ja myös taulukkoon 22. Voit tarkastella kaikkia taulukon osoitteita käyttämällä tätä komentoa:

ipfw table 22 list

Tulos tulostetaan seuraavasti:

10.10.10.118/32 0
10.10.10.72/32 0
...

Kuten edellä on kuvattu, yhteydet näistä osoitteista ovat kiellettyjä. Tietysti ensimmäisellä sshguardkerralla luettelossa ei ole osoitteita, mutta ajan myötä se voi venyä melko pitkäksi. Yksi vaihtoehto on luoda erilliset estosäännöt osoitteille, joissa on useita merkintöjä taulukossa, ja poistaa ne sitten mustalta listalta.

Vaihe 5. Valppaana...

On hyvä idea ajoittain tarkistaa lokit varmistaaksesi, että tunkeutumiset ovat hallinnassa. Yleensä /var/log/auth.logja /var/log/securityovat informatiivisia. Puutteita tai virheitä verkkopalvelujen kattamisessa saattaa ilmetä. Palomuurisääntöjen muuttaminen tarpeen mukaan on normaali osa palvelimen hallintaa.

Aiemmissa sshguard-versioissa, kun /var/db/sshguard/blacklist.dbtiedosto oli kasvanut suureksi, se saattoi estää sshguardkäynnistymisen järjestelmän käynnistyksen yhteydessä. Mustan listan tiedoston poistaminen tai uudelleennimeäminen saa sshguardalkaa. Tämä ongelma näyttää korjatun uusimmassa sshguard-versiossa, joten tämä kiertotapa ei todennäköisesti ole enää tarpeen.

Muista lisätä sallittujen luetteloon IP-osoite, josta olet yhteydessä SSH-istuntoon. Jos lukitset itsesi vahingossa ulos, voit aina muodostaa yhteyden noVNC-konsoliin osoitteessa https://my.vultr.com ja lisätä IP-osoitteesi sallittujen luetteloon.

Yhteenvetona, käyttämällä yhdistelmää ipfwja sshguardauttaa pitämään FreeBSD järjestelmän turvallisuuden ja tekee työtään. Tunkeuttavan verkkotoiminnan minimoimisesta on lisäetu: vähemmän "kohinaa" helpottaa järjestelmän toiminnan seurantaa ja viritystä, mikä edistää turvallisempaa ja paremmin toimivaa palvelinta.

FreeBSD-järjestelmän/palvelimen tehokas suojaaminen ei ole erityisen monimutkaista. Vaikka sen saaminen käyttöön vaatii vaatimatonta vaivaa, se maksaa itsensä huomattavasti paremmana VPS:nä ja projektiturvallisuutena.