Belagerung durch fremde Rechner

[Maik Holtkamp]

Hi,

0n 05/12/09 at 09:22 Juergen Scharmacher told me:

> seitdem ich logcheck auf unserem Rechner laufen lasse, merke ich,
> wieviel fremde Rechener sich auf dem Server der Schule eiloggen wollen.
> Bisher hat es noch nie geklapt, aber es anstrengend, weil ich immer die
> Logs durchblättern muß.
> 
> Gibt es eine Einstellung um fremde Rechner abzuweisen, wenn sie nach
> einer bestimmten Anzahl von Versuchen scheitern. 

Habe dazu folgendes aufgeschnappt:

$IPT -A INPUT -p tcp --dport 22 -i $EXTIF -m state --state NEW -m recent --set 
$IPT -A INPUT -p tcp --dport 22 -i $EXTIF -m state --state NEW -m recent  --update --seconds 60 --hitcount 4 -j LOG --log-prefix "SSH_BRUTE_FORCE"
$IPT -A INPUT -p tcp --dport 22 -i $EXTIF -m state --state NEW -m recent  --update --seconds 60 --hitcount 4 -j DROP

Hitcount und Zeit kannst Du ggf. anpassen. Der Kernel muss mit 

CONFIG_IP_NF_MATCH_RECENT=y

uebersetzt sein.

work:~# grep SSH /var/log/messages.0 | wc -l
11

Vom 8. bis heute morgen um 08:00. Im aktuellen log war nichts.

-- 
bye maik
-------------- next part --------------
A non-text attachment was scrubbed...
Name: not available
Type: application/pgp-signature
Size: 189 bytes
Desc: not available
URL: <http://lug-owl.de/pipermail/linux/attachments/20051210/95606e66/attachment.sig>