Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] Demande conseils de sécurité pour mon serveur dédié.

totoAussi

Bonjour,

j'ai besoin de votre aide car des pirates essayent d'entrer dans mon serveur. J'ai découvert ces pirates en constatant que mon fichier mail.log grossit bizarrement tous les matins, à cause de ça :

....
Feb  6 15:53:29 ns postfix/smtpd[5397]: connect from 114-32-159-71.HINET-IP.hinet.net[114.32.159.71]
Feb  6 15:53:30 ns postfix/smtpd[5397]: NOQUEUE: reject: RCPT from 114-32-159-71.HINET-IP.hinet.net[114.32.159.71]: 554 5.7.1 <smtp@k888.tw>: Relay access denied; from=<aaa16@hotmail.com> to=<smtp@k888.tw> proto=SMTP helo=<91.121.157.78>
Feb  6 15:53:31 ns postfix/smtpd[5397]: lost connection after RCPT from 114-32-159-71.HINET-IP.hinet.net[114.32.159.71]
Feb  6 15:53:31 ns postfix/smtpd[5397]: disconnect from 114-32-159-71.HINET-IP.hinet.net[114.32.159.71]
Feb  6 15:56:51 ns postfix/anvil[5399]: statistics: max connection rate 1/60s for (smtp:114.32.159.71) at Feb  6 15:53:29
Feb  6 15:56:51 ns postfix/anvil[5399]: statistics: max connection count 1 for (smtp:114.32.159.71) at Feb  6 15:53:29
Feb  6 15:56:51 ns postfix/anvil[5399]: statistics: max cache size 1 at Feb  6 15:53:29
Feb  6 17:58:31 ns postfix/smtpd[11461]: connect from 75-147-74-82-Philadelphia.hfc.comcastbusiness.net[75.147.74.82]
Feb  6 17:58:31 ns postfix/smtpd[11461]: lost connection after CONNECT from 75-147-74-82-Philadelphia.hfc.comcastbusiness.net[75.147.74.82]
Feb  6 17:58:31 ns postfix/smtpd[11461]: disconnect from 75-147-74-82-Philadelphia.hfc.comcastbusiness.net[75.147.74.82]
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection rate 1/60s for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection count 1 for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max cache size 1 at Feb  6 17:58:31
.....

D'après les premières lignes, je vois que le pirate essaye d'envoyer des mails à partir de mon serveur, mais il n'arrive pas car mon serveur n'est pas open relay.
Ensuite, je ne connais pas la signification du reste, càd :

Feb  6 17:58:31 ns postfix/smtpd[11461]: disconnect from 75-147-74-82-Philadelphia.hfc.comcastbusiness.net[75.147.74.82]
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection rate 1/60s for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection count 1 for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max cache size 1 at Feb  6 17:58:31

=> Qu'est-ce que cela veut dire ?

Ensuite, quelle est la solution pour bannir l'ip de ce pirate après 3 échecs de tentatives ? Car je ne veux avoir des gros fichiers logs où je ne peux même plus voir mes propres événements.

Merci d'avance, cordialement.

Refuznik

Vu que tu utilises postfix tu peux coupler fail2ban pour bannir les ip.

totoAussi

Merci Refuznik.

J'ai installé fail2ban,

j'ai mis true pour postfix dans jail.local

et dans filter.d/postfix.conf, j'ai mis une regex supplémentaire ( statistics: max connection (.*)<HOST>):

failregex = reject: RCPT from (.*)\[<HOST>\]: 554
            statistics: max connection (.*)<HOST>

Pour ne plus voir avoir dans mes logs ces lignes :

Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection rate 1/60s for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max connection count 1 for (smtp:75.147.74.82) at Feb  6 17:58:31
Feb  6 18:01:51 ns postfix/anvil[11463]: statistics: max cache size 1 at Feb  6 17:58:31

J'espère que mon piège va marcher :hammer:

Merci encore, A+

koshie

Salut,

D'une manière générale n'oublie pas d'empêcher la connexion via root, préfère le jeu de clé publique / privée (avec si possible passphrase) pour te connecter en SSH, n'autorise que certains utilisateur Unix à se connecter (via AllowUsers user1 user2 ...), au passage change le port (niveau sécurité c'est quasi rien mais ça évite de te faire trop pourrir les logs), choisit de bon mot de passe et surtout met régulièrement à jour l'OS de ton serveur 🙂.