sshguard简介及对抗SSH探测实践

2021-09-06 16:25 系统架构狂奔的蜗牛

# **sshguard**简介及对抗SSH探测实践
![](/attachment/2021-09-06/1630916693_6463881439382811867.png)

随着Linux服务器在各种企业及单位的广泛使用。越来越多的用户普遍开启了Linux发行版默认的远程管理组件SSH作为远程管理服务器的通用方法和手段。但通常情况下SSH功能组件没有输入密码次数限制，这给SSH暴力破解带来了极大的方便。通过传统防火墙机制则只能对IP地址放行或者阻断，这种方式对真正面向大地址空间侧用户来说很难确定其IP地址的范围，也就很难确定哪些地址需要放行而哪些地址需要阻断。笔者也通过Linux自身的“Pam_tally”认证模块进行过SSH登陆用户次数限制设置，但发现该机制一旦使用户锁定之后，必须需要本地root才能进行解锁，这对于远程维护的系统是不现实的。

Sshguard组件提供了一种动态机制，通过该软件组件，能够接受日志消息，如果它确定了某个地址对防护中的服务器造成危害，就会启用机器里的防火墙规则，以阻止该地址连接。Sshguard阻止状态保持一段时间，会自动解禁。不仅如此，它还能针对几种FTPD等服务器提供同样的防暴力破解攻击和探测。该组件目前支持多数公开发行的Linux及BSD系统。

**一、**  **安装**

Sshguard软件的安装，对于多数熟悉Linux系统的用户来说安装过程相对简单，笔者测试中发现Debian Gnu/Linux的源中已经包含了该软件包，用户只需通过执行“apt install sshguard”即可进行安装。对于RedHat用户来说需要将下载的安装包上传至安装主机通过“rpm –ivh ”命令进行安装，相应的sshguard组件安装包下载地址如下：

```bash
https://archives.fedoraproject.org/pub/archive/epel/6/x86_64/Packages/s/sshguard-2.4.0-11.el6.x86_64.rpm
```

该链接地址软件包适用于Red Hat Enterprise 6系列操作系统安装

```bash
http://rpmfind.net/linux/rpm2html/search.php?query=sshguard
```

该链接地址包含了RedHat、SuSE操作系统下各架构平台的sshguard组件安装包，用户可以针对自己的系统进行下载安装。

笔者以Red Hat Enterprise 7对安装过程进行举例说明，用户进入页面后可以找到“sshguard-2.4.1-1.el7.x86_64.rpm”文件所在行并点击下载该文件，因为该软件组件没有其它依赖包问题，所以可以直接通过命令“rpm –ivh sshguard-2.4.1-1.el7.x86_64.rpm”即可完成安装。

用户在操作系统上完成安装并通过简单配置之后，即可以使用服务管理命令对该sshguard组件进行管理及使用。

**二、**  **配置方法**

用户安装完sshguard软件组件后，如果是Debian Gnu/Linux系统，系统会自动在“/etc”目录中创建“sshgurad/sshguard.conf”“sshguard/whitelist”文件；如果是RedHat系统，系统只会在“/etc”目录中创建“sshguard.whitelist”文件，用户需要手工编辑配置文件“/etc/sshguard.conf”。文件内容如下：

```
BACKEND="/usr/libexec/sshguard/sshg-fw-firewalld"

FILES="/var/log/secure"

LOGREADER="LANG=C /usr/bin/journalctl -afb -p info -n1 -t sshd -o cat"

THRESHOLD=30

BLOCK_TIME=120

DETECTION_TIME=1800

WHITELIST_FILE=/etc/sshguard.whitelist
```

因为该软件组件需要系统防火墙功能组件开启配合使用，因此需要Linux系统中的防火墙功能组件必须开启，同时需要在sshgurad配置文件“BACKEND”参数中指定相应的防火墙功能脚本。“BACKEND”参数指定的防火墙脚本已经在sshguard安装时一并进行了安装，对于Debian Gnu/Linux该脚本目录位于“/usr/lib/x86_64-linux-gnu”,RedHat 该脚本目录则为“/usr/libexec/sshguard”。用户安装成功后首先需要使用命令启动本地防火墙，只有启用sshguard服务。

对于没有启用防火墙的用户，则首先需要通过手工方式添加相应的防火墙chain以及规则，下面以Red Hat Enterprise 7为例详细介绍手工配置过程：

1、   用户可以使用命令“vi /etc/rc.d/rc.local”编辑“/etc/rc.d/rc.local”文件，并加入如下内容：

```bash
/usr/sbin/iptables -N sshguard

/usr/sbin/iptables -A INPUT -m multiport -p tcp --destination-ports 22 -j sshguard

touch /var/lock/subsys/local

exit 0
```

2、   使用命令“chmod +x /etc/rc.d/rc.local”为该文件增加可执行权限。

3、   使用命令“systemctl enable rc-local.service”启用rc-local.service服务，用以开机时执行rc.local定义的相关iptables规则。

4、   使用命令“systemctl enable sshguard.service”启用sshguard服务。

配置结束后系统将对超过定义次数的ssh尝试连接进行阻断。

**三、**  **具体参数说明**

1、配置文件位置：Debian Gnu/Linux系统该文件位于/etc/sshguard/sshguard.conf,RedHat系统该配置文件位于/etc/sshguard.conf

2、几处重要的默认配置可根据实际需求修改：

2.1、BACKEND="/usr/libexec/sshguard/sshg-fw-iptables"

该配置文件指定了sshguard服务需要使用的后端防火墙脚本，用户需要根据自己真是系统使用的防火墙类型进行修改。

2.2、THRESHOLD=30

当错误输入累计次数达到30次，封禁ip

2.3、BLOCK_TIME=120

首次封禁时长为120秒，此后若再次达到阀值被封禁，时长增至1.5倍，依次类推

2.4、DETECTION_TIME=1800

最长封禁时间1800秒（即在3分钟内若没有达到阀值，就会解禁ip）

2.5、WHITELIST_FILE=/etc/sshguard.whitelist

白名单配置,为了防止误禁止某ip（段），可将其加入白名单,用户可根据自己的应用需要对特殊地址进行添加，之后sshguard服务将忽略这些地址并永久放行ssh登录服务。

**四、**  **后记**

网络安全日益重要的当下，经管有越来越多的安全设备对网络中的各种恶意行为进行这防护，但主机侧自主防护的能力也是非常重要和必要的，避免内网本身的恶意行为需要本机侧能够具有很好的自动化能力和功能。网络攻防从本质上来讲是时间的对抗，sshguard功能组件可以最大限度的自动化进行恶意登录行为的阻断和恢复。这种既能有效延长攻击者的时间维度，又能为正常用户访问提供及时响应的技术能力很好的为在网络攻防中正常业务的保障和保护提供了有力支撑。

作者：狂奔的蜗牛 出处： http://www.host900.com/

本文版权归作者所有，欢迎转载。未经作者同意下，必须在文章页面明显标出原文链接及作者，否则保留追究法律责任的权利。

如果您认为这篇文章还不错或者有所收获，可以分享给您的小伙伴，因为你的支持是我继续写作，分享的最大动力！

上一篇Docker下载镜像代理加速

下一篇Dnsmasq实现ipv4/v6双栈地址动态分配