Еще один шаг к безопасности. Защита от сканирований и брута.

[Moriarty]

Здравствуйте жители всея vlmi!

Добавлю еще одну ступень-степень к безопасности.
Малвари сейчас не меряно, на каждом шаге, и зловредов всегда хватало.
Так что лишним не будет.

Начнем с linux, продолжим windows`ом.


Что в арсенале:
Artillery — это IPS система, позволяющая проводить мониторинг файловой системы на предмет модификаций и журналов служб на предмет сообщений об ошибках, проводить анализ конфигурации операционной системы и выявлять уязвимости, работать как honeypot и блокировать нарушителей по IP адресам, а так же уведомлять системного администратора об атаках по электронной почте.

Установка.

git clone https://github.com/BinaryDefense/artillery.git
cd artillery
python setup.py

После запуска установка вас спросят Хотите ли вы сделать чтобы при запуске системы Artillery запускалась автоматически.

Позже задаст вопрос, запустить ли сейчас Artillery.
Установить и запустить это 50% успеха. Нужно ещё правильно настроить.

Открываем файл конфигурации

nano/var/artillery/config

видим что у нас включен мониторинг папок /root//var//etc/

# DETERMINE IF YOU WANT TO MONITOR OR NOT
MONITOR="ON"
#
# THESE ARE THE FOLDERS TO MONITOR, TO ADD MORE, JUST DO "/root","/var/", etc.
MONITOR_FOLDERS="/var/www","/etc/"
Так же мы можем увидеть наши HONEYPOT порты

# PORTS TO SPAWN HONEYPOT FOR
PORTS="22,1433,8080,21,5900,25,53,110,1723,1337,10000,5800,44443,16993"
Сюда вы можете добавить порты которые у вас не установлены на сервисы и ловить китайских хацкеров которые пытаются вас сканировать.

После старта, Artillery слушает порты которые для зловредов - вкусный кусочек.

Также есть бан-лист он находиться тут:

/var/artillery/banlist.txt

тут хранятся все заблокированные IP адрес.

Ниже можно включить или выключить мониторинг SSH и защитить его от брута.
# DO YOU WANT TO MONITOR SSH BRUTE FORCE ATTEMPTS
SSH_BRUTE_MONITOR="ON"
#
# HOW MANY ATTEMPTS BEFORE YOU BAN
SSH_BRUTE_ATTEMPTS="4"

Если вы не всегда сидите за компом и мониторите систему вы можете настроить чтобы Artillery уведомляла вас по почте о злых намереньях хацкеров на вас напасть.( что кстати удобно)
# SHOULD EMAIL ALERTS BE SENT
EMAIL_ALERTS="OFF"
#
# CURRENT SUPPORT IS FOR SMTP, ENTER YOUR USERNAME AND PASSWORD HERE. LEAVE BLANK FOR OPEN RELAY
SMTP_USERNAME=""
#
# ENTER THE SMTP PASSWORD HERE. LEAVE BLANK FOR OPEN RELAY
SMTP_PASSWORD=""
#
# THIS IS WHO TO SEND THE ALERTS TO - EMAILS WILL BE SENT FROM ARTILLERY TO THIS ADDRESS
ALERT_USER_EMAIL="[email protected]"
#
# FOR SMTP ONLY HERE, THIS IS THE MAILTO
SMTP_FROM="Artillery Incident"
#
# SMTP ADDRESS FOR SENDING EMAILS, DEFAULT IS GMAIL
SMTP_ADDRESS="smtp.gmail.com"
#
# SMTP PORT FOR SENDING EMAILS DEFAULT IS GMAIL WITH TTLS
SMTP_PORT="587"

Для того чтобы все логи нашей программы писались в папку с программой - измените:
# Specify SYSLOG TYPE to be local, file or remote. LOCAL will pipe to syslog, REMOTE will pipe to remote SYSLOG, and file will send to alerts.log in local artillery directory
SYSLOG_TYPE="LOCAL"
с LOCAL на FILE

Тогда в папке /var/artillery/logs/ будут сохраняться логи.
Как настроили ваш конфиг файл сохраняем его и закрываем.

И перезапускаем Artillery чтобы наши новые настройки вступили в силу.

python restat_server.py

Если мы проверим какие порты у нас открыты - то мы увидим что все порты которые мы указывали к разделе Honeypot здесь присутствуют.

netstat –antp | grep LISTEN

Для тех кто хочет защитить свою WINDOWS систему, посвящается данное видео:

Найдено в сети, адаптировано и отлажено мною.
Успехов и процветания.