Ako nainštalovať Blacklistd na FreeBSD 11.1

Úvod

Každá služba, ktorá je pripojená k internetu, je potenciálnym cieľom útokov hrubou silou alebo neoprávneného prístupu. Existujú nástroje ako fail2banalebo sshguard, ale tieto sú funkčne obmedzené, pretože analyzujú iba protokolové súbory. Blacklistd má iný prístup. Modifikovaní démoni ako SSH sa môžu pripojiť priamo k blacklistd a pridať nové pravidlá brány firewall.

Krok 1: PF (Firewall)

Kotva je súbor pravidiel, ktoré potrebujeme v našej konfigurácii PF. Ak chcete vytvoriť minimálnu sadu pravidiel, upravte /etc/pf.conftak, aby vyzerala takto:

set skip on lo0
scrub in on vtnet0 all fragment reassemble

anchor "blacklistd/*" in on vtnet0

block in all
pass out all keep state
antispoof for vtnet0 inet

pass in quick on vtnet0 inet proto icmp all icmp-type echoreq
pass in quick on vtnet0 proto tcp from any to vtnet0 port 22

Teraz povoľte PFautomatické spustenie, upravte súbor /etc/rc.conf:

pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

Je tu však ešte jedna vec, ktorú by ste mohli chcieť urobiť ako prvú: otestujte svoje pravidlá, aby ste sa uistili, že je všetko správne. Na tento účel použite nasledujúci príkaz:

pfctl -vnf /etc/pf.conf

Ak tento príkaz hlási chyby, vráťte sa späť a najskôr ich opravte!

Je dobré sa uistiť, že všetko funguje podľa očakávania, a to reštartovaním servera teraz: shutdown -r now

Krok 2: Blacklistd

IP adresy sú zablokované na 24 hodín. Toto je predvolená hodnota a možno ju zmeniť v /etc/blacklistd:

# Blacklist rule
# adr/mask:port type    proto   owner           name    nfail   disable
[local]
ssh             stream  *       *               *       3       24h

Upravte, /etc/rc.confaby ste povolili Blacklist:

blacklistd_enable="YES"
blacklistd_flags="-r"

Spustite Blacklistd pomocou nasledujúceho príkazu:

service blacklistd start

Krok 3: SSH

Posledná vec, ktorú musíme urobiť, je povedať, sshdaby sme to oznámili blacklistd. Pridať UseBlacklist yesdo /etc/ssh/sshd_configsúboru. Teraz reštartujte SSH pomocou service sshd restart.

Posledný krok

Nakoniec sa pokúste prihlásiť na server s neplatným heslom.

Ak chcete získať všetky blokované adresy IP, použite jeden z nasledujúcich príkazov:

blacklistctl dump -bw
        address/ma:port id      nfail   last access
 150.x.x.x/32:22        OK      3/3     2017/x/x 04:43:03
 115.x.x.x/32:22        OK      3/3     2017/x/x 04:45:40
  91.x.x.x/32:22        OK      3/3     2017/x/x 07:51:16
  54.x.x.x/32:22        OK      3/3     2017/x/x 12:05:57

pfctl -a blacklistd/22 -t port22 -T show
   54.x.x.x
   91.x.x.x
  115.x.x.x
  150.x.x.x

Na odstránenie zablokovanej IP musíte použiť príkaz pfctl. Napríklad:

pfctl -a blacklistd/22 -t port22 -T delete <IP>

Upozorňujeme, že blacklistctladresa IP sa bude stále zobrazovať ako zablokovaná! Toto je normálne správanie a dúfajme, že bude odstránené v budúcich vydaniach.