Sshguard/es

sshguard es un sistema de prevención de intrusiones que analiza los registros del servidor, determina la actividad maliciosa y utiliza el cortafuegos del sistema para bloquear las direcciones IP de las conexiones maliciosas. sshguard está escrito en C, así que no supone una carga para el sistema.

Cómo funciona
sshguard es un demonio sencillo que hace un seguimiento continuo de uno o más ficheros de registro. Analiza los eventos del registro que los demonios envían en caso de intentos de conexión fallidos y entonces bloquea cualquier intento de esas conexiones mediante la actualización del cortafuegos del sistema.

A diferencia de lo que su nombre indica, sshguard no solamente analiza los registros de SSH. También es compatible con muchos sistemas de correo, así como unos pocos FTP. Una lista completa de los servicios soportados se puede encontrar en el sitio web sshguard.net.

Emerge
Instale :

Asegúrese también de que está instalado el paquete y que el mismo se utiliza como el cortafuegos del sistema. Al momento de escribir (este artículo), sshguard todavía no soporta.

También se puede encontrar más información sobre el uso y configuración de IPtables en el artículo IPtables.

Preparar el cortafuegos
Cuando sshguard bloquea a cualquier usuario malintencionado (mediante el bloqueo de sus direcciones IP), utilizará la cadena.

Por tanto, prepare la cadena, y asegúrese también de que dicha cadena actúa cuando se detectan nuevas conexiones entrantes:

Supervisar los ficheros de registro
La idea básica detrás de sshguard es que el administrador analice el fichero(s) de registro (que elija) —dado que no hay ningún fichero de configuración nativo de sshguard— para verlo(s) como opciones de la aplicación.

En Gentoo, las opciones de sshguard se pueden afinar mejor en el fichero :

FILES="/var/log/messages /var/log/auth.log"
 * 1) Space-separated list of log files to monitor. (optional, no default)

THRESHOLD=10 BLOCKTIME=60480 DETECTION_TIME=60480
 * 1) How many problematic attempts trigger a block
 * 1) Blocks last at least 24 hours (60480 seconds)
 * 1) Track IP addresses for 24 hours (60480 seconds)

IPV6_SUBNET=64 IPV4_SUBNET=24
 * 1) IPv6 subnet size to block. Defaults to a single address, CIDR notation. (optional, default to 128)
 * 1) IPv4 subnet size to block. Defaults to a single address, CIDR notation. (optional, default to 32)

PID_FILE=/run/sshguard.pid }}
 * 1) Full path to PID file (optional, no default)

Asegúrese de que los ficheros de registro que utiliza el usuario sshguard le son accesibles en tiempo de ejecución.

OpenRC
Para que sshguard se inicie de forma predeterminada, hay que añadirlo al nivel de ejecución default y, luego, iniciarlo:

Bloquear equipos
Con la opción de bloquear equipos, después de una serie de abusos, se bloquea la dirección IP del atacante. Esta prohibición se cargará en cada inicio y se extenderá con nuevas entradas durante la operación. inserta una nueva dirección una vez se haya superado el límite de abusos.

No se planifica nunca la liberación (permitir) de Las direcciones bloqueadas.

Para habilitar el bloqueo, crear el directorio y fichero apropiados:

While defining a blacklist it is important to exclude trusted IP networks and hosts in a whitelist.

To enable whitelisting, create an appropriate directory and file:

The whitelist has to include the loopback interface, and should have at least 1 IP trusted network f.e. 192.0.2.0/24.

Añadir el fichero de bloqueo a la configuración después de la variable SSHGUARD_OPTS :

THRESHOLD=10 BLOCK_TIME=43200 DETECTION_TIME=604800

IPV4_SUBNET=24 IPV6_SUBNET=64

PID_FILE=/run/sshguard.pid

BLACKLIST_FILE=10:/var/lib/sshguard/blacklist.db WHITELIST_FILE=/etc/sshguard/whitelist }}
 * 1) Add following lines

Reiniciar el demonio para que los cambios tengan efecto:

¡El fichero '/var/log/auth.log' desapareció mientras se estaba añadiendo!
Cuando arranca, sshguard informa del siguiente error:

Este error (la ruta al fichero puede variar) ocurre cuando el fichero destino no está disponible en el sistema. Asegúrese de que se ha creado o actualice la configuración de sshguard para que no lo incluya en la monitorización.

En un sistema syslog-ng con OpenRC, suele ser suficiente añadir lo siguiente a :

Recargar la configuración para que los cambios tengan efecto:

Véase también

 * Iptables, para instalar y configurar en Gentoo.

Recursos externos
La documentación de sshguard proporciona toda la información necesaria para afinar aún más la aplicación.