PF – очень мощный инструмент и в его арсенале имеются штатные средства для блокировки паролей. И так нужна такая конструкция:
table <badhosts> persist
...
block drop in quick on $ext_if from to any label "ssh bruteforce"
block drop out quick on $ext_if from any to label "ssh bruteforce"
...
pass in quick on $ext_if proto tcp from any to ($ext_if) port 22 flags S/SA keep state (max-src-conn-rate 1/60, overloadflush global)
Обновлена 23.06.2016
Введение.
Пару слов о самом pf. Пакетный фильтр (далее PF) OpenBSD предназначен для фильтрации TCP/IP трафика и трансляции адресов (NAT). PF так же способен нормализовать и преобразовывать TCP/IP трафик, управлять приоритетами пакетов и пропускной способностью. PF был включен в ядро GENERIC OpenBSD, начиная с OpenBSD 3.0. Предшествующие версии OpenBSD использовали другой файрвол/NAT пакет, который более не поддерживается. Позже он портировался на FreBSD (начиная с 5.3) и Solaris (начиная с Oracle Solaris 11.3)
Расскажу ещё про один блокировщик подбора паролей. Теперь он будет работать в паре с pf. Сам sshit представляет собой скрипт на языке perl со всеми вытекающими отсюда последствиями. То есть, при наличии необходимых знаний языка perl вы можете нелету (а именно так он и работает) изменять сам скрипт. Это же (то есть налету) можно делать и с конфигурационным файлом.
Примечание: для OpenBSD его так же можно использоват, не смотря на то, что его нет в репозитариях. Учитывая что это скрипт на perl’e – просто скопируйте себе этот бинарник и конфиг и следуйте указанием в статье. Единственное отличие – это то, что в OpenBSD в syslogd нету флага ‘-c’.
В статье будет рассмотрен тюнинг системы при помощи sysctl. Так же защита от разного рода сканнирования, DDoS’a.
Все значения используйте на свой страх и риск.
Иногда бывают ситуации, когда нужно использовать openvpn и авторизацию не по ключам, а по логину паролю. Можно так же использовать совместно, для увеличения безопасности оба этих метода.
Тестовый стенд: Debian 6 (kernel 2.6.32-5-686), openvpn 2.1.3.
У pf есть некоторые особенности использования ключевых слов при составлении правил. Ими пользоваться достаточно просто. Основное преимущество заключается в том, что мы не привязывается к IP адресу, а это очень удобно
– один и тот же конфиг можно использовать на многих машинах, без изменений
– при смене IP адреса нет надобности редактировать правила
Live-дистрибутив NST (Network Security Toolkit) построен на базе Fedora 15 Linux и ориентирован для проведения анализа безопасности сети и мониторинга её функционирования. В состав дистрибутива включена одна из наиболее полных подборок приложений, имеющих отношение к сетевой безопасности (например: Wireshark, NTop, Nessus, Snort, NMap, Kismet, TcpTrack, Etherape, nsttracroute, Ettercap и т.д.). Для управления процессом проверки безопасности и автоматизации вызова различных утилит подготовлен специальный web-интерфейс, в который также интегрирован web-фронтэнд для сетевого анализатора Wireshark. Графическое окружения дистрибутива базируется на FluxBox.
В статье будет описаны средства защиты от DDoS’a для популярных веб-серверов apache и nginx. Естественно, что это не 100% панацея и всё зависит от самих атак. Но всё же, для большинства атак подойдёт
Linux-дистрибутив NetSecL, основанного на пакетной базе openSUSE и ориентирован на специалистов в области компьютерной безопасности и пользователей, желающих получить максимально защищенную рабочую среду. По умолчанию в дистрибутиве применяются достаточно жесткие настройки внутренней безопасности, активированы некоторые дополнительные средства защиты (GrSecurity, GCC Stack Smashing Protection, сборка с binutils поддерживающим PT_PAX_FLAGS). В комплект включены утилиты для проверки защищенности систем (Amap, Ettercap, Hydra, Kismet, Nessus, Nmap, Metasploit, PADS). Таким образом, NetSecL может выступать как система для тестирования безопасности, так и как защищенный десктоп-дистрибутив. Размер iso-образа дистрибутива составляет 1 Гб.
Динамические правила используются там, где нужно динамически создавать ответное правило для соединения. Без их использования нужно явно задавать правила для всех соединений.