서버운영을 하다보면 SSH,FTP등을 통해 외부에서 알 수 없는 IP가 계정접근 시도하는 경우가 있습니다.

그치만 패스워드를 모르니, 접근실패가 될 것입니다..

그런데 이들은 해킹프로그램을 이용하여 접속이 될때까지 패스워드를 계속 바꾸며, 계속 접근을 시도할 겁니다..

결국 패스워드가 뚫리며 root 계정에 접속될 것입니다.

이 문제를 해결하기위해서는 간단하게 관리자 IP만 서버접근을 허용하면 됩니다.

하지만, 관리자IP가 유동이거나 다른 외부에서 접근할 경우도 있을 수 있습니다.

그럼 차선책으로 몇회 이상 접근에 실패할 경우 해당 접근IP를 완전히또는 일정시간 동안은 차단 해야 이런 공격에 대비할 수 있겠지요..

여기서는 fail2ban 이란 프로그램을 이용해 무작위 공격방어를 해볼까합니다.

fail2ban프로그램은 접근로그파일에서 실패횟수를 계산하고 iptables을 이용해 서버접근을 차단하는 툴입니다.

아참, 아래의 설치과정과 설정은 centos6에서 진행 했으니, 다른 리눅스에서는 다를 수 있습니다.

fail2ban 설치

1. 먼저 http://www.fail2ban.org 에서 fail2ban 다운로드 합니다.

# cp files/redhat-initd /etc/init.d/fail2ban

*설정파일에서 설정 (여기에선 vi 편집기를 이용해 변경하겠습니다.)

# vi /etc/fail2ban/jail.conf

-> 29줄쯤에서부터 ~ (이부분은 원하시는 값으로 설정하세요.)

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not

# ban a host which matches an address in this list. Several addresses can be

# defined using space separator.

ignoreip = 127.0.0.1/8 #입력하신 IP로 접근시 아무리 실패해도 차단되지않습니다. (관리자IP를 적어두시면 되겠네요)

# "bantime" is the number of seconds that a host is banned.

bantime  = 600 #일정횟수 초과시도시 접근거부 시간입니다. (단위 : 초)

# A host is banned if it has generated "maxretry" during the last "findtime"

# seconds.

findtime  = 600 #입력하신 시간간격 사이에 지정횟수를 초과시 차단합니다. (단위 : 초)

# "maxretry" is the number of failures before a host get banned.

maxretry = 3 #입력하신 횟수초과시 접근거부합니다.

-> 72줄쯤 부터 ~

[ssh-iptables]

enabled  = true #이부분을 true로 해줘야 ssh접근시 fail2ban가 동작될 수 있습니다.

filter   = sshd

action   = iptables[name=SSH, port=ssh, protocol=tcp]

           sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"]

logpath  = /var/log/secure #ssh 접근로그파일을 입력해주세요. 로그파일은 리눅스마다 다릅니다. centos6.4경우 "/var/log/secure" 입니다. 로그파일이 존재하지않으면 서비스실행 실패됩니다.

maxretry = 5 #입력하신 횟수초과시 접근거부합니다. (윗설정과 상관없이 ssh접근에만 적용됩니다. 삭제하시면 윗설정이 적용됩니다.)

- 추후 설정파일을 변경하면 반드시 서비스재시작(# service fail2ban restart)을 해줘야 적용됩니다.

*서비스 시작

# service fail2ban start

- 서비스 실행시 [OK]가 나와야 정상동작입니다.

※실패차단시 iptables에서 IP를 차단하고 있어서 iptables에서 차단된 IP확인및 차단해제를 할 수 있습니다.

* fail2ban에서 차단된 ip 해제

• iptables -D fail2ban-ProFTPD -s xxx.xxx.xxx.xxx -j REJECT
  
• iptables -D fail2ban-SSH -s xxx.xxx.xxx.xxx -j REJECT