Posted by : Unknown Senin, 16 Juli 2012

Brute force ke server adalah serangan ke sebuah server yang dilakukan dengan mencoba login menggunakan user dan password secara acak dengan mencoba berkali-kali dalam sekali serang. Walaupun kemungkinan kecil untuk tembus (asalkan password-password benar-benar sulit), tetapi akan membuat trafic jaringan ke server semakin padat dan lambat.

Kali ini kita akan melihat konfigurasi untuk mengamankan Inoming mail server (pada kesempatan ini menggunakan Dovecot server yang sudah terinstall dan berjalan) yang paling rentan terhadap serangan brute force.


Pertama-tama kita harus memiliki program fail2ban, untuk mudahnya menggunakan paket rpm yang bisa di download disini,  pilih file sesuai distro yang ada pada server kita.

Setelah diinstall, maka akan terdapat direktori /etc/fail2ban/ (untuk distro opensue). buatlah filter baru dan simpan di /etc/fail2ban/filter.d/dovecot-pop3imap.conf, berikut is  filenya :
[Definition]
failregex = (?: pop3-login|imap-login): .*(?:Authentication failure|Aborted login \(auth failed|Aborted login \(tried to use disabled|Disconnected \(auth failed|Aborted login \(\d+ attempts).*rip=(?P\S*),.*
ignoreregex =
Tambahkan baris berikut pada /etc/fail2ban/jail.conf:
[dovecot-pop3imap]
enabled = true
filter = dovecot-pop3imap
action = iptables-multiport[name=dovecot-pop3imap, port="pop3,pop3s,imap,imaps", protocol=tcp]
# optionaly mail notification # mail[name=dovecot-pop3imap, dest=root@domain] # see /etc/fail2ban/action.d/ or Fail2Ban doc
logpath = /var/log/mail
maxretry = 3
findtime = 1200
bantime = 1200

Untuk Debian dan Ubuntu tambahkan /etc/fail2ban/jail.local (jangan edit /etc/fail2ban/jail.conf)
[dovecot-pop3imap]
enabled = true
filter = dovecot-pop3imap
port = pop3,pop3s,imap,imaps
action = iptables-multiport[name=dovecot-pop3imap, port="pop3,pop3s,imap,imaps", protocol=tcp]
# optionaly mail notification # mail[name=dovecot-pop3imap, dest=root@domain] # see /etc/fail2ban/action.d/ or Fail2Ban doc
logpath = /var/log/mail.log
maxretry = 3
findtime = 1200
bantime = 1200
Kemudian restart fail2ban server, buka console dan ketik :

/etc/init.d/fail2ban restart
Untuk melihat apakah fail2ban sudah berjalan dengan baik, pada console ketik :
 
tail -f /var/log/fail2ban.log


Maka akan muncul log file seperti berikut :

2012-07-16 21:21:02,656 fail2ban.server : INFO   Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.4
2012-07-16 21:21:02,657 fail2ban.jail : INFO Creating new jail 'dovecot-pop3imap'
2012-07-16 21:21:02,658 fail2ban.jail : INFO Jail 'dovecot-pop3imap' uses poller
2012-07-16 21:21:02,682 fail2ban.filter : INFO Added logfile = /var/log/mail
2012-07-16 21:21:02,683 fail2ban.filter : INFO Set maxRetry = 3
2012-07-16 21:21:02,686 fail2ban.filter : INFO Set findtime = 1200
2012-07-16 21:21:02,686 fail2ban.actions: INFO Set banTime = 1200
2012-07-16 21:21:02,700 fail2ban.jail : INFO Jail 'dovecot-pop3imap' started


Jika terjadi serangan maka pada log akan berisi sebagai berikut :

2012-15-09 01:20:57,780 fail2ban.actions: WARNING [dovecot-pop3imap] Ban 176.58.96.82
2012-15-09 01:40:58,099 fail2ban.actions: WARNING [dovecot-pop3imap] Unban 176.58.96.82
2012-15-09 04:05:19,143 fail2ban.actions: WARNING [dovecot-pop3imap] Ban 176.58.96.82
2012-15-09 04:25:19,455 fail2ban.actions: WARNING [dovecot-pop3imap] Unban 176.58.96.82
2012-15-09 21:05:58,800 fail2ban.actions: WARNING [dovecot-pop3imap] Ban 125.228.246.202
2012-15-09 21:25:59,101 fail2ban.actions: WARNING [dovecot-pop3imap] Unban 125.228.246.202
2012-15-10 01:47:57,526 fail2ban.actions: WARNING [dovecot-pop3imap] Ban 88.204.0.2
2012-15-10 02:07:57,807 fail2ban.actions: WARNING [dovecot-pop3imap] Unban 88.204.0.2


Description: Block serangan brute force pada dovecot IMAP-POP3 dengan fail2ban
Rating: 4.5
Reviewer: Unknown
ItemReviewed: Block serangan brute force pada dovecot IMAP-POP3 dengan fail2ban

Leave a Reply

Monggo Tinggalkan Jejak Kaks :)

Subscribe to Posts | Subscribe to Comments

Welcome to My Blog

Popular Post

Labels

Arsip Blog

Followers

- Copyright © 2013 shad0w-share | Designed by Johanes Djogan -