[mit r1855 erledigt] Brute-Force-Attack auf dropbear begrenzen

Hallo zusammen,

vor einiger Zeit hat einer hier über Brute-Force-Attacken auf seine Box berichtet. Ich hatte zunächst daran nicht geglaubt, bis ich die Tage in die Logdateien meiner vielen Fritz!Boxen reingeschaut hatte. Und ... richtig gestaunt. Der arme Dropbear hat viel zu kämpfen!

Ich weiß nicht, wie die Angreifer auf die dynamischen IP-s kommen. Ob da dyndns geknackt wurde und die Namen bekannt sind, oder ob die IPs einfach Reihe nach getestet werden, egal wie, aber ES WIRD BRUTAL attakiert und man muss was dagegen unternehmen, eher es zu spät wird.

Warum sollte man es machen? Es wurde hier berichtet, und ich vermute es inzwischen auch, dass die "kleinen" Boxen (wie z.B. 7050) bei solchen Attacken sich aufhängen, weil sie solchen "Lasten" nicht gewachsen sind. Also es genügt nicht, einfach sichere Passwörter zu wählen. Die Box wird zwar nicht geknackt, aber sicher zum Aufhängen getrieben.

Was könnte man dagegen machen?
1. Port 22 verlegen. Ist nur eine temporäre Lösung.
2. Dropbear modifizieren.
3. Irgendein anderes Tool auf die Box zu bringen, welches Attacken erkennt und abblockt.

Da ich mich mit 2 und 3 noch nicht auskenne, eröffne ich hiermit die Diskussion hier und bitte um machbare Vorschläge.

Ich spekuliere ein bisschen:

a) Man könnte versuche loggen und die gleiche IP nach 3 Versuchen für 30 Minuten sperren
b) Man könnte parallele Anmeldungen per see verbieten oder begrenzen (normalerweise reicht ja eine oder höchstens zwei)

Die Frage ist, wie kann man es machen.

------------------------------------------------------------------------------

Edit vom 10.02.2008: Nun bin ich etwas schlauer geworden und poste hier den patch für dropbear. Dieser patch gehört in make/dropbear/patches und wird beim "make" an dropbear automatisch angewandt. Nicht vergessen dropbear vorher "cleanen", falls schon kompiliert.

Es bewirkt Veränderung folgender Werte:
Offene Anmeldungen von gleicher IP: 2 anstatt 5
Offene Anmeldungen von unterschiedlichen IPs: 5 anstatt 30
Fehlversuche bei Passwort-Eingabe: 2 anstatt 10
Timeout für die Anmeldung: 30 sec. anstatt 5 min

Bevor jeder hier anfängt sich zu äußern, wie man die Variable X noch mal erhöhen / verkleinern kann, bitte erstmal diese Einstellungen testen. Für 99% der Fälle werden sie ausreichen. Es werden keine weiteren Umkonfigurationen notwendig sein. Nur wenn jemand mit diesen Einstellungen reelle (und keine virtuellen) Probleme bekommen hat, sollte er sich hier melden. Weitere Vorschläge werden auch angenommen.

MfG

Für knockd hatte ich eine gute Anleitung gefunden [1]. Zufälligerweise gerade für SSH-Port.
Allerdings sehe ich diese Methode als etwas aufwendig, denn
1. IPTABLES läuft auf der Box noch nicht 100% und keiner nimmt sich es sich vor (ja, ich weiß, ohne contrac usw. läuft es halbwegs...)
2. IPTABLES+KNOCKD für kleine Boxen ist keine gute Idee
3. Ich hab mich zwar in knock nicht detailiert eingelesen, ich verstehe es aber so, dass man dafür einen speziellen Client braucht. Also wiederum kompliziert auf der Clientseite...

Ich nutze nämlich momentan PUTTY, damit ich von überall (auch von fremden Rechnern) einen Zugriff auf die Boxen bekomme. Das Gute an PUTTY: Es läuft auf dem Stick und unterstützt Porttunneling. Also, Verbindung aufgebaut, "localhost" angetippt und schon ist man auf der Box.

Mit Port verlegen ist so eine Sache. Wohin denn? Dann versperre ich mich selbst, denn einige Firewalls von denen ich rausgehe haben eine sehr begrenzte Anzahl der nach Außen geöffneten Ports. Man kannn natürlich SMTP, POP und co. nehmen, aber ob es gut ist.

Zur Antwort "das ist von großen Linuxsystemen bekannt": Ja darauf will ich hinaus. Es ist bei den Servern üblich, die Ports zu sperren oder Loginversuche zu begrenzen. Mir ging es beim Eröffnung dieses Threads darum eine relativ einfache (außer Port verlegen) Möglichkeit zu finden, die Box zu schützen.

Was ist z.B. mit dropbear? Gibt es da nicht irgendeine Funktion, die mein reinkompilieren / reinkonfigurieren kann? Ich kenne mich damit nicht aus, deswegen frage ich so blöd. Oder muss es auf einer früheren Ebene gescheen, bevor dropbear überhaupt eine zusätzliche Instanz startet?

MfG