Lohnt es sich, fehlgeschlagene Anmeldeversuche zu blockieren?

Lohnt es sich, fail2ban , sshdfilter oder ähnliche Tools auszuführen , die IP-Adressen auf die schwarze Liste setzen, die sich anmelden und die sich nicht anmelden können?

Ich habe gesehen, wie argumentiert wurde, dass dies ein Sicherheitstheater auf einem "richtig gesicherten" Server ist. Ich bin jedoch der Meinung, dass es wahrscheinlich dazu führt, dass Skriptkinder auf den nächsten Server in ihrer Liste wechseln.

Angenommen, mein Server ist "ordnungsgemäß gesichert", und ich befürchte nicht, dass ein Brute-Force-Angriff tatsächlich erfolgreich sein wird. Halten diese Tools einfach meine Protokolldateien sauber, oder erhalte ich einen lohnenden Vorteil beim Blockieren von Brute-Force-Angriffsversuchen?

Update : Viele Kommentare zum Rätselraten von Passwörtern - Ich habe erwähnt, dass ich mir darüber keine Sorgen mache. Vielleicht hätte ich genauer nachfragen sollen, ob fail2ban Vorteile für einen Server hätte, der nur schlüsselbasierte SSH-Anmeldungen zulässt.

Die Beschränkung der Anmeldungsrate ist ein einfacher Weg, um einige der Hochgeschwindigkeitsangriffe auf das Erraten von Passwörtern zu verhindern. Es ist jedoch schwierig, verteilte Angriffe einzuschränken, und viele laufen über Wochen oder Monate mit geringer Geschwindigkeit. Ich persönlich bevorzuge es, automatisierte Antworttools wie fail2ban zu vermeiden. Und das aus zwei Gründen:

1. Legitime Benutzer vergessen manchmal ihre Passwörter. Ich möchte keine legitimen Benutzer von meinem Server verbannen und dazu zwingen, ihre Konten erneut manuell zu aktivieren (oder, schlimmer noch, herauszufinden, welche der 100/1000 gesperrten IP-Adressen ihnen gehört).
2. Eine IP-Adresse ist kein guter Bezeichner für einen Benutzer. Wenn Sie mehrere Benutzer hinter einer einzelnen IP-Adresse haben (z. B. eine Schule, in der NAT auf 500 Schülercomputern ausgeführt wird), kann ein einzelner Benutzer, der ein paar falsche Vermutungen anstellt, Sie in eine Welt voller Schmerzen versetzen. Gleichzeitig werden die meisten Versuche zum Erraten von Passwörtern, die ich sehe, verteilt.

Aus diesem Grund halte ich fail2ban (und ähnliche automatisierte Antworttools) nicht für einen sehr guten Ansatz, um einen Server vor Brute-Force-Angriffen zu schützen. Eine einfache IPTables-Regel, mit der sich das Spam-Protokoll (das ich auf den meisten Linux-Servern habe) reduzieren lässt, sieht folgendermaßen aus:

iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

Es werden mehr als 4 Verbindungsversuche von einer einzelnen IP zu SSH in einem Zeitraum von 60 Sekunden verhindert. Der Rest kann erledigt werden, indem sichergestellt wird, dass die Passwörter relativ sicher sind. Auf Hochsicherheitsservern ist das Erzwingen der Authentifizierung mit öffentlichen Schlüsseln eine weitere Möglichkeit, das Erraten zu beenden.

Tools wie fail2ban helfen dabei, unnötigen Netzwerkverkehr zu reduzieren und die Protokolldateien ein bisschen kleiner und sauberer zu halten. Es ist keine große Sicherheitsmaßnahme, aber es erleichtert dem Systemadministrator das Leben ein bisschen. Aus diesem Grund empfehle ich die Verwendung von fail2ban auf Systemen, auf denen Sie es sich leisten können.

Es geht nicht nur darum, das Rauschen zu reduzieren - die meisten ssh-Angriffe versuchen, Passwörter brutal zu erraten. Während Sie also viele fehlgeschlagene SSH-Versuche sehen werden, erhalten sie möglicherweise bis zum 2034. Versuch einen gültigen Benutzernamen / ein gültiges Kennwort.

Das Schöne an fail2ban im Vergleich zu anderen Ansätzen ist, dass es nur minimale Auswirkungen auf gültige Verbindungsversuche hat.

Nun, es schützt Ihr Netzwerk ein wenig vor Ablehnungsangriffen und spart den Aufwand für die Verarbeitung der Fehler.

Es ist immer eine gute Sache, nicht der schwächste Server auf einer Skript-Kinderliste zu sein.

Entschuldigung, aber ich würde sagen, dass Ihr Server richtig gesichert ist, wenn Ihr sshd Versuche ablehnt, sich mit Passwörtern zu authentifizieren.

PasswordAuthentication no