Izboljšanje varnosti za FreeBSD z uporabo IPFW in SSHGuard

VPS strežniki so pogosto tarča vsiljivcev. Pogosta vrsta napada se prikaže v sistemskih dnevnikih kot na stotine nepooblaščenih poskusov prijave ssh. Nastavitev požarnega zidu je zelo uporabna, vendar sama po sebi morda ne bo ustrezno nadzorovala motečih poskusov vdora.

Ta vadnica prikazuje, kako zgraditi izboljšano vdorno oviro za FreeBSD z uporabo dveh programov, ipfwpožarnega zidu in sshguard. SSHGuard je majhen dodatek, ki spremlja sistemske dnevnike za "žaljive" vnose. Ko storilci poskušajo pridobiti dostop, sshguardnaroči ipfwblokiranje prometa, ki izvira z naslova IP kršitelja. Storilec je nato dejansko zaprt.

Ko razumete, kako ti programi delujejo, je upravljanje zaščite strežnika precej preprosto. Čeprav je ta priročnik osredotočen na konfiguriranje FreeBSD, se njegovi deli uporabljajo za druge operacijske sisteme in programsko opremo požarnega zidu.

Korak 1. Konfiguriranje IPFW

FreeBSD ponuja 3 požarne zidove v svojem privzetem ( GENERIC) jedru ipfw, pf, in ipfilter. Vsaka ima prednosti in oboževalce, vendar ipfwje programska oprema požarnega zidu FBSD, ki je dokaj enostavna za uporabo za naše namene. Omeniti velja, da ipfwpočne veliko stvari, kot je prikazano na strani priročnika, vendar zmožnosti, kot so NAT, oblikovanje prometa itd., niso potrebne za tipično situacijo VPS. Na srečo osnovne funkcije požarnega zidu zlahka ustrezajo našim zahtevam.

Če želite požarni zid zagnati ob zagonu, dodajte naslednje /etc/rc.conf:

firewall_enable="YES"
firewall_script="/usr/local/etc/IPFW.rules"
firewall_logging="YES"

serviceUkaz je na voljo za zagon / ročno ustavitev požarni zid:

[user@vultr ~]$ sudo service ipfw start

Seveda ipfwne bo naredil ničesar, dokler ne doda pravil, pogosto iz datoteke, v tem primeru na naslovu /usr/local/etc/IPFW.rules. Datoteka s pravili se lahko dejansko nahaja kjer koli ali ima katero koli ime, če se ujema s parametrom "firewall_script". Datoteka s pravili je podrobno opisana spodaj.

2. korak. Namestite in konfigurirajte SSHGuard

sshguardje na voljo v več različicah za uporabo z različnimi požarnimi zidovi. Uporabite pkgpripomoček za pridobivanje in namestitev sshguard-ipfw:

[user@vultr ~]$ sudo pkg install sshguard-ipfw

V večini primerov je to vse, kar morate storiti. Ustrezna spremenljivka se samodejno vstavi /etc/rc.confza zagon ob zagonu:

sshguard_enable="YES"

Privzete nastavitve običajno dobro delujejo. Če so potrebne različne vrednosti, sshguardstran man daje podrobne informacije o parametrih:

# sshguard--program defaults, so don't need to be in rc.conf unless assigning different value
# sshguard_pidfile="/var/run/sshguard.pid"
# sshguard_watch_logs="/var/log/auth.log:/var/log/mail"
# sshguard_blacklist="40:/var/db/sshguard/blacklist.db"
# sshguard_safety_thresh="40"
# sshguard_pardon_min_interval="420"
# sshguard_prescribe_interval="1200"

Začnete lahko sshguardz običajnim serviceklicanjem:

[user@vultr ~]$ sudo service sshguard start

Korak 3. Ustvarite skript pravil

Najtežji del je ustvariti nabor pravil požarnega zidu. ipfwlahko uporablja priloženi /etc/rc.firewallskript, vendar ga je treba spremeniti, da bo ustrezal SSHGuard, kot tudi različnim operativnim scenarijem. Številne spletne strani in priročnik FreeBSD vsebujejo koristne informacije o tem. Vendar pisanje datoteke s pravili ni tako težko, poleg tega je nabor pravil po meri lažje razumeti in ga po potrebi spremeniti.

Pomembna značilnost ipfwpravil je, da prva tekma zmaga, kar pomeni, da je pomemben vrstni red pravil. V ipfw, je vsako pravilo ukaz, datoteka s pravilom pa je izvedljiv skript lupine. To omogoča, da se nabor pravil spremeni tako, da se spremenijo pravila in nato zažene datoteka pravil kot skript lupine, kot je:

[user@vultr /usr/local/etc]$ sudo ./IPFW.rules

Na splošno bo datoteka s pravili definirala spremenljivko za ipfwukaz, nato počistila trenutna pravila, izdala splošna pravila in nato nadaljevala z nastavitvijo "izhodnih" pravil, ki jim bodo sledila pravila "vhod". Stran s priročnikom za ipfw in drugi viri vsebujejo veliko informacij o strukturi pravil in možnostih, ki so milo rečeno številne.

Ker je bila različica FreeBSD sshguard posodobljena na različico 1.6.2, se je način vstavljanja pravil blokiranja za kršitelje spremenil. Zdaj se naslovi kršiteljev hranijo v tabeli ipfw (natančneje tabela 22), namesto da bi bili vstavljeni v pravila nad 55000 kot prej.

Na srečo je nastavitev datoteke pravil za uporabo tabele precej preprosta. Gre samo za to, da postavite pravilo tabele na pravo mesto in poskrbite, da boste pri pisanju pravila uporabili pravilno sintakso.

Ko sshguardnajde kršitelja, ga uvrsti na črni seznam, naslov pa vstavi tudi v ipfwtabelo, tako da bo "sprožil" zavrnitev dostopa. To pravilo bo doseglo te namene:

01000 deny ip from table\(22\) to any

V tem primeru je še vedno potrebno postaviti pravila, ki dovoljujejo dohodne storitve nad 01000. Recimo, da je naslov 10.20.30.40kršitelj v tabeli 22 in imamo to pravilo ipfw:

56420 allow tcp from any to me dst-port 22 in via $vif

Ker ipfwnaleti pravilo 01000 pred pravilom 56420 , 10.20.30.40je blokiran . Pravilo "dovoli 22 v" sploh ne bo nikoli vidno. Če bi pravilo za dovoljenje imelo "običajno" številko, kot je 00420 , bi bil slab promet prepuščen in nikoli blokiran (ker je 00420 manj kot 01000 in "prva tekma zmaga").

Lepa lastnost posodobljene različice je, da so zdaj, ko se sshguard zažene, vsi naslovi na črnem seznamu dodani v tabelo in so na voljo za brez odlašanja blokiranje dohodnih kršiteljev. Črni seznam je kumulativen in se hrani med sejami.

Na tej točki je verjetno smiselno prikazati celoten ipfwnabor pravil, spremenjen za sshguard. Komentarji bi morali olajšati sledenje logiki pravila:

#!/bin/sh

# ipfw config/rules
# from FBSD Handbook, rc.firewall, et. al.

# Flush all rules before we begin.
ipfw -q -f flush

# Set rules command prefix
cmd="ipfw -q add "

vif="vtnet0"

# allow all for localhost
$cmd 00010 allow ip from any to any via lo0

# checks stateful rules.  If marked as "keep-state" the packet has
# already passed through filters and is "OK" without futher
# rule matching
$cmd 00101 check-state

# allow DNS out
$cmd 00110 allow tcp from me to any dst-port 53 out via $vif setup keep-state
$cmd 00111 allow udp from me to any dst-port 53 out via $vif keep-state

# allow dhclient connection out (port numbers are important)
$cmd 00120 allow udp from me 68 to any dst-port 67 out via $vif keep-state

# allow HTTP HTTPS replies
$cmd 00200 allow tcp from any to any dst-port 80 out via $vif setup keep-state
$cmd 00220 allow tcp from any to any dst-port 443 out via $vif setup keep-state

# allow outbound mail
$cmd 00230 allow tcp from any to any dst-port 25 out via $vif setup keep-state
$cmd 00231 allow tcp from any to any dst-port 465 out via $vif setup keep-state
$cmd 00232 allow tcp from any to any dst-port 587 out via $vif setup keep-state

# allow icmp re: ping, et. al. 
# comment this out to disable ping, et.al.
$cmd 00250 allow icmp from any to any out via $vif keep-state

# alllow timeserver out
$cmd 00260 allow tcp from any to any dst-port 37 out via $vif setup keep-state

# allow ntp out
$cmd 00270 allow udp from any to any dst-port 123 out via $vif keep-state

# allow outbound SSH traffic
$cmd 00280 allow tcp from any to any dst-port 22 out via $vif setup keep-state

# otherwise deny outbound packets
# outbound catchall.  
$cmd 00299 deny log ip from any to any out via $vif

# inbound rules
# deny inbound traffic to restricted addresses
$cmd 00300 deny ip from 192.168.0.0/16 to any in via $vif
$cmd 00301 deny ip from 172.16.0.0/12 to any in via $vif
$cmd 00302 deny ip from 10.0.0.0/8 to any in via $vif
$cmd 00303 deny ip from 127.0.0.0/8 to any in via $vif
$cmd 00304 deny ip from 0.0.0.0/8 to any in via $vif
$cmd 00305 deny ip from 169.254.0.0/16 to any in via $vif
$cmd 00306 deny ip from 192.0.2.0/24 to any in via $vif
$cmd 00307 deny ip from 204.152.64.0/23 to any in via $vif
$cmd 00308 deny ip from 224.0.0.0/3 to any in via $vif

# deny inbound packets on these ports
# auth 113, netbios (services) 137/138/139, hosts-nameserver 81 
$cmd 00315 deny tcp from any to any dst-port 113 in via $vif
$cmd 00320 deny tcp from any to any dst-port 137 in via $vif
$cmd 00321 deny tcp from any to any dst-port 138 in via $vif
$cmd 00322 deny tcp from any to any dst-port 139 in via $vif
$cmd 00323 deny tcp from any to any dst-port 81 in via $vif

# deny partial packets
$cmd 00330 deny ip from any to any frag in via $vif
$cmd 00332 deny tcp from any to any established in via $vif

# allowing icmp re: ping, etc.
$cmd 00310 allow icmp from any to any in via $vif

# allowing inbound mail, dhcp, http, https
$cmd 00350 allow udp from any 53 to me in via $vif
$cmd 00360 allow tcp from any 53 to me in via $vif
$cmd 00370 allow udp from any 67 to me dst-port 68 in via $vif keep-state

$cmd 00400 allow tcp from any to me dst-port 80 in via $vif setup limit src-addr 2
$cmd 00410 allow tcp from any to me dst-port 443 in via $vif setup limit src-addr 2

# SSHguard puts offender addresses in table 22. Set up the table rule
# Please note the '\(22\)' syntax, necessary since it's run as shell command
$cmd 01000 deny ip from table\(22\) to any

# allow inbound ssh, mail. PROTECTED SERVICES: numbered ABOVE sshguard blacklist range 
$cmd 56420 allow tcp from any to me dst-port 22 in via $vif setup limit src-addr 2
$cmd 56530 allow tcp from any to any dst-port 25 in via $vif setup keep-state
$cmd 56531 allow tcp from any to any dst-port 465 in via $vif setup keep-state
$cmd 56532 allow tcp from any to any dst-port 587 in via $vif setup keep-state

# deny everything else, and log it
# inbound catchall
$cmd 56599 deny log ip from any to any in via $vif

# ipfw built-in default, don't uncomment
# $cmd 65535 deny ip from any to any

Korak 4. Zagon in testiranje

Sistemske potrebe se razlikujejo in različne izbire vrat za blokiranje ali deblokiranje se odražajo v naboru pravil. Ko je nabor pravil končan, shranite datoteko v /usr/local/etc/IPFW.rulesin zaženite storitve FBSD:

 # service ipfw start
 # service sshguard start

Razširjeni požarni zid bi moral zdaj delovati! Preverite sshguard:

 [user@vultr ~]$ sudo pgrep -lfa ssh

Če sshguardse izvaja, se prikažeta njegov pid in polna ukazna vrstica:

720 /usr/local/sbin/sshguard -b 40:/var/db/sshguard/blacklist.db -l /var/log/auth.log -l /var/log/maillog -a 40 -p 420 -s 1200 -w /usr/local/etc/sshguard.whitelist -i /var/run/sshguard.pid

To prikazuje nabor pravil požarnega zidu s statistiko in zadnjič, ko se je paket ujemal s pravilom:

 [user@vultr ~]$ sudo ipfw -cat list

Po urah ali dneh se naslovi kršiteljev dodajo na črno listo in tudi tabelo 22. Za ogled vseh naslovov v tabeli uporabite ta ukaz:

ipfw table 22 list

Rezultat je natisnjen kot:

10.10.10.118/32 0
10.10.10.72/32 0
...

Kot je opisano zgoraj, povezave s teh naslovov niso dovoljene. Seveda ob prvem zagonu sshguardna seznamu ne bo nobenih naslovov, vendar sčasoma lahko postane precej dolg. Ena od možnosti je ustvariti ločena pravila za blokiranje za naslove z več vnosi v tabeli in jih nato izbrisati s črnega seznama.

Korak 5. Bodite pozorni ...

Dobro je, da občasno preverite dnevnike, da se prepričate, ali so vdori nadzorovani. Na splošno /var/log/auth.login /var/log/securityso informativni. Lahko postanejo očitne vrzeli ali napake pri pokrivanju omrežnih storitev. Spreminjanje nabora pravil požarnega zidu po potrebi je običajen del administracije strežnika.

V prejšnjih različicah sshguard, ko je /var/db/sshguard/blacklist.dbdatoteka narasla, je lahko preprečila sshguardzagon ob zagonu sistema. Odstranjevanje ali preimenovanje datoteke črnega seznama je dovoljeno sshguardzačeti. Zdi se, da je ta težava odpravljena v najnovejši različici sshguard, zato ta rešitev verjetno ni več potrebna.

Ne pozabite dodati naslova IP, s katerega ste povezani s sejo SSH, na seznam dovoljenih. Če se pomotoma zaklenete, se lahko vedno povežete s konzolo noVNC na https://my.vultr.com in uvrstite svoj IP na seznam dovoljenih.

Če povzamemo, uporaba kombinacije ipfwin sshguardpomaga ohranjati vaš sistem FreeBSD varen in opravlja svoje delo. Zmanjšanje vsiljive omrežne dejavnosti ima dodatno prednost: manj "šuma" olajša sledenje in prilagajanje delovanja sistema, kar prispeva k varnejšemu in bolje delujočemu strežniku.

Učinkovita zaščita sistema/strežnika FreeBSD ni posebej zapletena. Čeprav je za njegovo vzpostavitev in delovanje potreben skromen trud, se izplača z bistveno večjo varnostjo VPS in projektom.