Sziasztok!
Szeretnék védekezni az általános site scan támadásokkal szemben, ehhez keresek ötleteket, programokat, alkalmazásokat.
Azt kellene elérni, hogy ha egy címről sok 404-et eredményező kérés érkezik, akkor azt egy időre letiltsam még az alkalmazásszerver előtt. Tehát ha valaki ilyenekkel próbálkozik, hogy
/user/login?ref=file:///etc/passwd
/files?file=/etc/passwd
amik egy portálon érvénytelen url-ek, akkor az első 20-30 ilyen után egy napig automatikusan tiltólistára kerüljön.
Kollégák Barracuda WAF-t használnak frontend tűzfalnak, de annak nincs ilyen beállítása (vagy eddig én nem találtam meg). Az alkalmazás SuSE Enterprise Linuxon fut.
Köszi!
pentike
- 1677 megtekintés
Hozzászólások
Snort/Suricata vagy bármilyen más IDS/IPS?
- A hozzászóláshoz be kell jelentkezni
Köszi! Megnézem őket!
- A hozzászóláshoz be kell jelentkezni
fail2ban is tud ilyet:
https://www.digitalocean.com/community/tutorials/how-to-protect-an-apac…
- A hozzászóláshoz be kell jelentkezni
+1
- A hozzászóláshoz be kell jelentkezni
Köszi!
- A hozzászóláshoz be kell jelentkezni
Nem eppen az, amit kertel de az is lehet, hogy jobb megoldas: mod_security
- A hozzászóláshoz be kell jelentkezni
"amik egy portálon érvénytelen url-ek, akkor az első 20-30 ilyen után egy napig automatikusan tiltólistára kerüljön." néha nem érik el a 20-30-at, csak _napi_ 5-öt, de akkor is kellene egy ban. A saját irodai fix IP-det tedd allow-ra, mert hamar kizárod maga egy rossz URL routing-gal. Pláne ha fail2ban megy, ami a tűzfalba ír, még a 22-es port sem fog menni :)
- A hozzászóláshoz be kell jelentkezni
Azé a 22-es porton nem illik futtatni az ssh-t, de ami a 22-es portra bepróbálkozik, az máris mehet ban listára pár órára. :)
- A hozzászóláshoz be kell jelentkezni
Aztan majd csodalkozol mikor probalsz kapcsolodni az uj szamitogepedrol ahol elfelejtetted beallitani az ssh klienst, hogy ne default porton probalkozzon :)
-----
"Már nem csak tehetségekből, de a hülyékből is kifogytunk..."
- A hozzászóláshoz be kell jelentkezni
Fix ip címem beengedése elötte van. :)
- A hozzászóláshoz be kell jelentkezni
+1
- A hozzászóláshoz be kell jelentkezni
mod_security + csf/lfd ? bár utóbbi centosos cucc.
- A hozzászóláshoz be kell jelentkezni