Kisuke IT Log

Открываю журнал безопасности на сервере клиента, а там тысячи событий 4625: кто-то методично подбирает пароль к RDP. Хочу заблокировать адрес, а событие 4625 в поле «Сетевой адрес источника» показывает прочерк. И так во всех записях. Первая мысль: журнал сломан или атакующий как-то его обходит. На самом деле Windows просто пишет адрес в другое место. Расскажу, куда именно, и как по журналам понять, кто вообще подключался к серверу. Почти всегда прочерк означает перебор пароля к RDP с включённой проверкой подлинности на уровне сети (NLA)...

Почти на каждом Linux-сервере, который мне достаётся, стоит fail2ban, и почти везде владелец уверен, что сервер защищён. Я решил проверить это на цифрах: взял 13 боевых серверов и посчитал, какие атаки за сутки проходят мимо. Результат неприятный. Ниже цифры, шесть причин, почему fail2ban не банит то, что должен, и команды, которыми это проверяется за пять минут. Серверы были разные: сайты на WordPress, 1С-Битрикс и Django, почтовые серверы, стриминг, CDN. На многих fail2ban настраивал опытный админ, это не «голые» установки...

Когда я рассказывал, как связал серверы клиентов в общий бан-лист, в списке планов была строчка «идея на подумать: плагин для WordPress на обычном хостинге, куда агент не поставить». Идея дозрела быстрее, чем я думал. Но вместо плагина для одной CMS получился PHP-модуль, которому всё равно, что крутится на сайте. В этой статье расскажу, зачем мне понадобилась защита сайта на хостинге, как устроен модуль и что он поймал за первые дни. У моих клиентов есть не только серверы. Почти у каждого есть ещё...

Продолжение разбора Linux-клиента для личного проекта централизованной синхронизации банов IP (первую ночь после запуска разбирал в прошлой статье - DNS-ловушка через прокси и OOM-шторм от исторического бэклога). После того как клиент стабилизировался, прошёл флот уже не в режиме тушения пожара, а в режиме планового аудита - и это оказалось не менее продуктивно: нашлись баги в ufw, в FirewallD и в интеграции с fail2ban. Предыдущие части серии про BanHub - мою систему централизованного бана IP для...