关于 linux 安全的一个想法

[zyqf]

每天暴露在公网下的 vps 都被频繁的扫描，暴力破解，通常的做法是：

• 改 ssh 端口
• 改成密钥登录并禁用密码登录
• 禁止以 root 身份远程登录
• 使用 fail2ban

前两个估计能防御绝大多数暴力破解了。

但还是浪费脑细胞想了想，何不在 fail2ban 上添加一个功能：

1 ，捕获那些正在干苟且之事的 IP 地址，上传至 Github 或私有云。

2 ， 下载这些 IP 数据，并屏蔽。

以上，用的人越多，就可以收集到越多的恶意 IP ，然后 ban 之。

[lrvy]

太麻烦了 看看这个 http://blog.163.com/lixiangqiu_9202/blog/static/53575037201511711508424

[gdtv]

1 、谁做评判？如果有个居心不良的人故意提交一些“良民” IP 怎么办？
2 、这份名单会十分巨大

[xihefeng]

东北大学貌似有一个列表，专门搜集这个

[shiji]

-A INPUT -m recent --update --seconds 28800 --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan BAN: "
-A INPUT -m recent --update --seconds 28800 --name portscan --mask 255.255.255.255 --rsource -j DROP


-A INPUT -i eth0 -p tcp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan INIT: "
-A INPUT -i eth0 -p udp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan INIT: "
-A INPUT -i eth0 -p tcp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p udp -m multiport --dports 1:79,81:442,444:65535 -m recent --set --name portscan --mask 255.255.255.255 --rsource -j DROP
-A INPUT -m recent --remove --name portscan --mask 255.255.255.255 --rsource -j LOG --log-prefix "Portscan RMV: "

我的 iptables 里面有差不多像这样的一段，而且至少有超过一年的数据。 来自中国南方地区机房的 IP 至少过半。
这段规则大概就是，一旦谁不小心访问到了没开放的端口，那来自这个 IP 的所有数据就会被扔掉，知道你停止扫描一段时间后才会开放。

但是这样有个 bug ， 如果你有个类似论坛的东西，一个贱人插入了一张图片或者 XSS 我的 IP:9988/1.jpg 那么好了，所有看见这个页面的用户 IP 都直接被封了。

为了防止 DoS ，可以把允许 80 443 的规则放在这些前面。

[zyqf]

@gdtv
1 ，收集数据，筛选出现次数大于一定值的 IP ，可以防止提交恶意数据，当然，数据样本要够大。

2 ，记录两个值，一个是 IP ，一个是出现次数，可设置屏蔽>n （出现次数）的 IP ，再者可以简化 IP 数据。

[zyqf]

感觉这个有点激进了，之前也看到 3 句 iptables 规则，说是尝试登录失败 3 次就屏蔽自定义时间。

[loading]

fail2ban 已经足够了，如果加上楼主你的数据库，被拖垮的是自己的服务器， ip 数据库查询太费时间了。

[zyqf]

@loading 不查询数据库啊，直接用 iptables 屏蔽这些 IP

[loading]

@zyqf iptables 也有查询配的过程。而且这个库，很容易误杀很多 ip ，时间长了，很多 ip 废弃了。

[cctvsmg]

这个确实可以做，但是大部分人懒得写代码，所以更想在 v2 发水帖

[php7]

没有必要多此一举
一个启用密钥、改端口禁 root 、密码登陆就很安全了
再个 linux 可以直接封掉密码错误 N 次的 ip ，一次只能链接几个
这样一套下来想破解已经很难了
服务器安全除了弱密，一般集中在程序和软件，所以精简并用更安全的程序
及时打补丁，更新服务器才是正道
何须你这样大费周章

你这种思路封一些广告评论才更合适
但已经有人在这么做了，而且做的很好

[YvesX]

就算性能上可行，按照楼主的说法，这个黑名单是只进不出的。
最后的效果是，对于动态 IP 来说，可连接性完全看脸。

[gimp]

3L 说的东北大学网络威胁黑名单 http://antivirus.neu.edu.cn/scan/

[su8610]

我写了一句 crontab,定期检查 secure log 里的 failed 记录，截出 ip 写到 hosts.deny 里去

[laydown]

给 vps 上加一个 Google 的两步验证就好了，用密码登录也安全。

[Srar]

魔改成 UDP 通讯即可

[douyang]

一招搞定： hosts.allow hosts.deny 限制可远程登陆的 IP 地址