ฉันกำลังพยายามหยุดการโจมตีและเข้าสู่ระบบด้วย การตรวจสอบความถูกต้องของ SASL LOGIN ล้มเหลว สำหรับเมลเซิร์ฟเวอร์ของฉัน อย่างไรก็ตาม ฉันพยายามมาหนึ่งวันแล้วและก็ยังไม่สามารถทำได้ บันทึกยังคงสร้างการโจมตีด้วย IP เดียวกัน
เซิร์ฟเวอร์ Linux 5.4.0-109-generic #123-Ubuntu SMP วันศุกร์ที่ 8 เมษายน 09:10:54 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux
/var/log/mail.log28 เม.ย. 20:45:23 เซิร์ฟเวอร์ postfix/smtpd[112579]: เชื่อมต่อจากที่ไม่รู้จัก[5.34.207.81]
28 เมษายน 20:45:24 เซิร์ฟเวอร์ postfix/smtpd[112409]: คำเตือน: ไม่รู้จัก [5.34.207.81]: การตรวจสอบสิทธิ์ SASL LOGIN ล้มเหลว: การตรวจสอบสิทธิ์ล้มเหลว
28 เม.ย. 20:45:25 เซิร์ฟเวอร์ postfix / smtpd [112409]: ตัดการเชื่อมต่อจากที่ไม่รู้จัก [5.34.207.81] ehlo=1 auth=0/1 rset=1 exit=1 commands=3/4
28 เม.ย. 20:45:30 เซิร์ฟเวอร์ postfix/smtpd[112599]: เชื่อมต่อจากที่ไม่รู้จัก[5.34.207.81]
28 เม.ย. 20:45:31 เซิร์ฟเวอร์ postfix / smtpd [112579]: คำเตือน: ไม่รู้จัก [5.34.207.81]: การตรวจสอบสิทธิ์ SASL LOGIN ล้มเหลว: การตรวจสอบสิทธิ์ล้มเหลว
28 เม.ย. 20:45:32 เซิร์ฟเวอร์ postfix / smtpd [112579]: ตัดการเชื่อมต่อจากที่ไม่รู้จัก [5.34.207.81] ehlo=1 auth=0/1 rset=1 exit=1 commands=3/4
28 เม.ย. 20:45:36 เซิร์ฟเวอร์ postfix/smtpd[112409]: เชื่อมต่อจากที่ไม่รู้จัก[5.34.207.81]
28 เม.ย. 20:45:38 เซิร์ฟเวอร์ postfix / smtpd [112599]: คำเตือน: ไม่รู้จัก [5.34.207.81]: การตรวจสอบสิทธิ์ SASL LOGIN ล้มเหลว: การตรวจสอบสิทธิ์ล้มเหลว
28 เม.ย. 20:45:38 เซิร์ฟเวอร์ postfix / smtpd [112599]: ตัดการเชื่อมต่อจากที่ไม่รู้จัก [5.34.207.81] ehlo=1 auth=0/1 rset=1 exit=1 commands=3/4
/etc/fail2ban/jail.local[postfix-sasl]
เปิดใช้งาน = จริง
พอร์ต = smtp,ssmtp,465,การส่ง,imap,imaps,pop3,pop3s
แบนไทม์ = 10m
ตัวกรอง = postfix-sasl
#action = iptables-multiport[ชื่อ=postfix, port="smtp,ssmtp,465,submission,imap,imaps,pop3,pop3s", protocol=tcp]
logpath = /var/log/mail.log
สูงสุด = 15
ฉันทำ บริการ sudo ล้มเหลว 2 แบนรีสตาร์ท และสิ่งที่สายก็คือฉันไม่เห็นมีโซ่ด้วย f2b-postfix.
grep ก็เช่นกัน ล้มเหลว 2 แบน บันทึกและนี่คือผลลัพธ์:
/var/log/fail2ban.log2022-04-27 16:27:10,133 fail2ban.actions [567]: ประกาศ [postfix-sasl] เลิกแบน 5.34.207.81
2022-04-27 16:27:45,391 fail2ban.actions [567]: ประกาศ [postfix-sasl] แบน 5.34.207.81
2022-04-27 16:32:17,801 fail2ban.actions [567]: ประกาศ [postfix-sasl] เลิกแบน 212.70.149.72
2022-04-27 22:37:46,299 fail2ban.actions [567]: ประกาศ [postfix-sasl] เลิกแบน 5.34.207.81
จากการวิจัยของฉัน ฉันเข้าใจว่า Fail2Ban สามารถทำงานร่วมกับ UFW ได้ ดังนั้นฉันจึงทำการวิจัยเพื่อสิ่งนี้ และนี่คือการกำหนดค่าของฉัน:
/etc/fail2ban/jail.local[postfix-sasl]
เปิดใช้งาน = จริง
วารสารตรงกัน =
แบ็กเอนด์ = การสำรวจ
แบนไทม์ = -1 // แบนถาวร? อาจจะ
ตัวกรอง = postfix-sasl
logpath = /var/log/mail.log
สูงสุด = 15
banaction = ufw
หาเวลา = 120
คุ้มค่าที่จะกล่าวถึงว่าฉันได้ป้อนข้อมูลด้วยตนเอง sudo ufw แทรก 1 ปฏิเสธจาก 5.34.207.81 เป็นใดๆ กับ sudo ufw โหลดซ้ำ แต่น่าเสียดายที่ฉันยังสามารถเห็นการโจมตีจาก IP เดียวกันที่เมลล็อกอิน /var/log/mail.log
สถานะ: ใช้งานอยู่
ถึงการดำเนินการจาก
-- ------ ----
ทุกที่ปฏิเสธ 212.70.149.72
ทุกที่ปฏิเสธ 5.34.207.81
/etc/fail2ban/filter.d/postfix-sasl.conf[รวมถึง]
ก่อน = Common.conf
[คำนิยาม]
_daemon = การแก้ไขภายหลัง/smtpd
Failregex = ^(.*)\[<HOST>\]: การรับรองความถูกต้อง SASL (?:LOGIN|PLAIN) ล้มเหลว:(.*)$
ละเว้นregex =
ทรัพยากร: Fail2ban กับ UFW
ขอบคุณถ้ามีคนสามารถช่วยฉันได้!
ในที่สุดของฉัน ล้มเหลว 2 แบน ใช้งานได้ตามที่คาดไว้และฉันจะทำเครื่องหมายว่าเป็นคำตอบ!
วิธีแก้ไขคือตั้งค่า หนังบู๊ เท่ากับ iptables-หลายพอร์ต แบนหลายพอร์ต! อย่างไรก็ตามฉันไม่ใช้ ยูเอฟดับบลิว เพื่อจำกัดผู้โจมตีเพราะฉันรู้ ยูเอฟดับบลิว ไม่ได้เปิดใช้งานเสมอระหว่างการบู๊ตเนื่องจากข้อขัดแย้งกับ ไฟร์วอลล์.
เพิ่มบรรทัดนี้ใน /etc/fail2ban/jail.local
action = iptables-multiport[ชื่อ=postfix, port="smtp,ssmtp,465,submission,imap,imaps,pop3,pop3s"]
ควรมีลักษณะดังนี้:
[postfix-sasl]
เปิดใช้งาน = จริง
ตัวกรอง = postfix-sasl
action = iptables-multiport[ชื่อ=postfix, port="smtp,ssmtp,465,submission,imap,imaps,pop3,pop3s"]
logpath = /var/log/mail.log
สูงสุด = 15
เวลาพัก = 12 ชม
ก่อนหน้านี้ฉันได้ตั้งค่า สูงสุด ถึง 3 เพื่อวัตถุประสงค์ในการทดสอบ คุณอาจต้องการเปลี่ยนเป็นค่าที่สูงขึ้น มิฉะนั้นผู้ใช้ของคุณอาจประสบปัญหาอย่างรวดเร็ว
มันคุ้มค่าที่จะตรวจสอบคุกของคุณ:
sudo fail2ban-สถานะเซิร์ฟเวอร์ postfix-sasl
เอาท์พุต:
สถานะคุก: postfix-sasl
|- ตัวกรอง
| |- ล้มเหลวในขณะนี้: 2
| |- ทั้งหมดล้มเหลว: 49
| `- รายการไฟล์: /var/log/mail.log
`- การกระทำ
|- ถูกแบนในขณะนี้: 1
|- ถูกแบนทั้งหมด: 3
`- รายการ IP ที่ถูกแบน: 5.34.207.81
ทรัพยากร: Fail2Ban ไม่สามารถตั้งกฎ Iptables:
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
