关于 linux 安全的一个想法

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个专门讨论 idea 的地方。

每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。

那这个时候，不妨可以把那些 idea 分享出来，启发别人。

这是一个创建于 3317 天前的主题，其中的信息可能已经有所发展或是发生改变。

每天暴露在公网下的 vps 都被频繁的扫描，暴力破解，通常的做法是：

改 ssh 端口
改成密钥登录并禁用密码登录
禁止以 root 身份远程登录
使用 fail2ban

前两个估计能防御绝大多数暴力破解了。

但还是浪费脑细胞想了想，何不在 fail2ban 上添加一个功能：

1 ，捕获那些正在干苟且之事的 IP 地址，上传至 Github 或私有云。

2 ，下载这些 IP 数据，并屏蔽。

以上，用的人越多，就可以收集到越多的恶意 IP ，然后 ban 之。

fail2ban

破解

暴力

17 条回复 2016-09-19 10:58:54 +08:00

lrvy

2016-09-18 01:03:48 +08:00 via Android

太麻烦了看看这个 http://blog.163.com/lixiangqiu_9202/blog/static/53575037201511711508424

gdtv

2016-09-18 01:29:57 +08:00

1 、谁做评判？如果有个居心不良的人故意提交一些“良民” IP 怎么办？
2 、这份名单会十分巨大

uiuy

2016-09-18 01:35:18 +08:00 via Android

东北大学貌似有一个列表，专门搜集这个

shiji

2016-09-18 01:56:58 +08:00

-A INPUT -m recent --update --seconds 28800 --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan BAN: "
-A INPUT -m recent --update --seconds 28800 --name portscan --mask 255.255.255.255 --rsource -j DROP

-A INPUT -i eth0 -p tcp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan INIT: "
-A INPUT -i eth0 -p udp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan INIT: "
-A INPUT -i eth0 -p tcp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p udp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j DROP
-A INPUT -m recent --remove --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan RMV: "

我的 iptables 里面有差不多像这样的一段，而且至少有超过一年的数据。来自中国南方地区机房的 IP 至少过半。
这段规则大概就是，一旦谁不小心访问到了没开放的端口，那来自这个 IP 的所有数据就会被扔掉，知道你停止扫描一段时间后才会开放。

但是这样有个 bug ，如果你有个类似论坛的东西，一个贱人插入了一张图片或者 XSS 我的 IP:9988/1.jpg 那么好了，所有看见这个页面的用户 IP 都直接被封了。

为了防止 DoS ，可以把允许 80 443 的规则放在这些前面。

zyqf

2016-09-18 06:33:02 +08:00 via Android

@gdtv
1 ，收集数据，筛选出现次数大于一定值的 IP ，可以防止提交恶意数据，当然，数据样本要够大。

2 ，记录两个值，一个是 IP ，一个是出现次数，可设置屏蔽>n （出现次数）的 IP ，再者可以简化 IP 数据。

zyqf

2016-09-18 06:41:59 +08:00 via Android

感觉这个有点激进了，之前也看到 3 句 iptables 规则，说是尝试登录失败 3 次就屏蔽自定义时间。

loading

2016-09-18 07:12:07 +08:00 via Android

fail2ban 已经足够了，如果加上楼主你的数据库，被拖垮的是自己的服务器， ip 数据库查询太费时间了。

zyqf

2016-09-18 07:54:09 +08:00 via Android

@loading 不查询数据库啊，直接用 iptables 屏蔽这些 IP

loading

2016-09-18 08:29:48 +08:00 via Android

@zyqf iptables 也有查询配的过程。而且这个库，很容易误杀很多 ip ，时间长了，很多 ip 废弃了。

cctvsmg

2016-09-18 08:37:07 +08:00

这个确实可以做，但是大部分人懒得写代码，所以更想在 v2 发水帖

php7

2016-09-18 08:47:49 +08:00

没有必要多此一举
一个启用密钥、改端口禁 root 、密码登陆就很安全了
再个 linux 可以直接封掉密码错误 N 次的 ip ，一次只能链接几个
这样一套下来想破解已经很难了
服务器安全除了弱密，一般集中在程序和软件，所以精简并用更安全的程序
及时打补丁，更新服务器才是正道
何须你这样大费周章

你这种思路封一些广告评论才更合适
但已经有人在这么做了，而且做的很好