OHaHa's學習心得

sshblock 自動將ssh惡意攻擊阻斷

SSHBlock 能夠透過監控 syslog 取得透過 ssh 嚐試登入的紀錄,
並且自動透過TCP Wrappers 加入相關紀錄於 /etc/hosts.allow ,拒絕該IP連線.

由於透過 TCP Wrapper 啟用, 所以請先行啟動 inetd , /etc/rc.conf

inetd_enable="YES"

手動啟動

/usr/sbin/inetd -wW -C 60

安裝:

cd /usr/ports/security/sshblock
make install
make clean

設定檔: 在 /etc/rc.conf 加入

sshblock_enable="YES" # 開機自動啟動
sshblock_flags="sshblock參數" # 參數設定, 可從 sshblock -h 取的詳細資料

參數部份可以設定為 -t /usr/local/etc/sshblock.tragger (名稱自訂), 內容為 60:3
表示60秒內嘗試3次錯誤即鎖定.

啟動:

/usr/local/etc/rc.d/sshblock start  # 手動啟動

如此只要有嘗試登入的就會在/etc/hosts.allow最後方出現:

# Added by SSHBlock [Mon Mar 17 17:49:11 2008]
# 6 break-in attempts in 15 seconds:
sshd : 嘗試登入的host/IP : deny

補充:
1.
若是已經透過防火牆限定來源ssh連線IP,加上sshblock將會讓安全性更佳的提升.
但更有可能讓自己登不進入系統.. =_______=

2.可以依照需求,自行修改 /usr/local/sbin/sshblock 檔案內容.

enjoy it!!