|
В панели директадмин версии 1.39 появился новый инструмент «Brute Force log scanner», который
анализирует системные логи и логи сервисов на предмет обнаружения
массового подбора паролей. Brute Force log scanner в панели хостинга Directadmin По умолчанию проверка включена, если надо отключить ее, то это можно сделать двумя способами: - Через прямую правку directadmin.conf (используя SSH доступ).
- Через правку настроек в панели хостинга Directadmin (используя браузер).
Прямая правка directadmin.conf:- cd /usr/local/directadmin/conf/
- Открываем directadmin.conf на редактирование.
- Добавляем или меняем опцию brute_force_log_scanner, и приводим ее к виду:
brute_force_log_scanner=0
- Перезагружаем directadmin.
Настройка сканера атак через браузер:- Заходим в панель Directadmin с правами администратора.
- Переходим на страницу «Administrator Settings».
- Находим строку «Parse service logs for brute force attacks» и выставляем необходимые параметры:
Parse service logs for brute force attacks — Анализировать логи на наличие брутфорс-атак
Notify Admins after an IP has 20 login failures on any account — Уведомлять администратора после 20 ошибок авторизации по любому аккаунту.
Notify Admins after a User has 40 login failures from any IP — Уведомлять администратора после 40 ошибок авторизации с любого IP адреса.
Reset count of IP/User failed attempts 24 hours after last attempt — Сбрасывать счетчик провальных ошибок авторизации по каждому логину/IP через 24 часа с момента последней попытки.
Clear failed login attempts from log 7 days after entry was made — Очищать журнал записей ошибочных авторизаций через 7 дней с момента записи. Итак, чтобы отключить сканер атак, переключаем опцию «Parse service logs for brute force attacks»
- со значения «Да» («Yes»)
- на «Нет» («No»).
Если хотите уменьшить количество уведомлений, отправляемых на почту, тогда увеличиваем значение параметров: - Notify Admins after an IP has __ login failures on any account
- Notify Admins after a User has __ login failures from any IP
К примеру: - Notify Admins after an IP has 500 login failures on any account
- Notify Admins after a User has 500 login failures from any IP
Сохраняем настройки и все готово. * * * Полный список настроек directadmin.conf, отвечающих за этот функционал:- brute_force_time_limit=120
- brute_force_log_scanner=1
- ip_brutecount=20
- user_brutecount=40
- clear_brute_log_time=24
- clear_brute_log_entry_time=7
- brute_force_mail_log=/var/log/maillog
- brute_force_exim_log=/var/log/exim/mainlog
- brute_force_secure_log=/var/log/secure
* * *
Описание функционала обнаружения брутфорс-атак находится по ссылкам:
| 