🚀 go-pugleaf

W dniu 2013-05-10 13:10, qed pisze:
> Hi
> Ja siedzę w bezpieczeństwie sieciowym i przypomina mi to reakcję na
> automatyczne próby złamania hasła; wielokrotnym logowaniem.
> W wyniku tego banowane jest na 15 minut konto www-data, na którym
> prawdopodobnie działa serwis www, będący celem ataku, a skoro pada
> apache, to także i on zostaje zatrzymany.
> To ma uchronić Twój serwer przed przejęciem hasła próbami wielokrotnego
> logowania (brute-force).
> Za tą reakcję odpowiada grsec - zwiększajacy bezpieczeństwo kernela i
> słusznie zresztą ;) Zapewne w jego konfiguracji mógłbyś zapobiec
> banowaniu, ale to  nie będzie dobre rozwiązanie, bo może doprowadzić do
> zhackowania serwisu.
> Spróbuj przejrzeć inne logi sieciowe (może masz też ips/ids po drodze?);
> powinny pokazać natrętne próby logowania. Moim zdaniem jesteś "under
> siege" i trzeba namierzyć natręta.
>

Nie mam nic po drodze. Innych logów nie mam, ale mogę włączyć np. 
logowanie INPUT na iptables. Coś jeszcze przychodzi Ci do głowy?

W dokumentacji grsec mam coś takiego

CONFIG_GRKERNSEC_BRUTE
If you say Y here, attempts to bruteforce exploits against forking 
daemons such as apache or sshd, as well as against suid/sgid binaries 
will be deterred. When a child of a forking daemon is killed by PaX or 
crashed due to an illegal instruction or other suspicious signal, the 
parent process will be delayed 30 seconds upon every subsequent fork 
until the administrator is able to assess the situation and restart the 
daemon.

In the suid/sgid case, the attempt is logged, the user has all their 
processes terminated, and they are prevented from executing any further 
processes for 15 minutes.

Czytam, ale nadal nie bardzo rozumiem co się dzieje. Ok, jest to próba 
włamania ale jak namierzyć atakującego?