SSH の ブルートフォース攻撃を iptables で防ぐには

SSH ポートを開いていると、間違いなくパスワード総当り攻撃を食らう。これが酷い時は、 SSH ポートに接続できなくなる位ひどい時もあるので、前もって対策しておきたい。

F/W や iptables でアクセス元の IP を制限すればいいんだけど、それができないケースなどは以下の iptables ルールで、一分間に３回以上接続がきた IP をブロックする。

iptables -N SSH_CHECK
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_CHECK
iptables -A SSH_CHECK -m recent --set --name SSH
iptables -A SSH_CHECK -m recent --update --seconds 60 --hitcount 4 --name SSH -j DROP

• １行目：チェーン名を作る
• ２行目：２２番ポートへの最初のインバウンド SYN パケットを SSH_CHECK チェーンにマーク
• ３行目：SSH という名前で SSH_CHECK チェーンに引っかかったパケットを一時リスト
• ４行目：随時６０秒間一時リストを更新しつつ、４回以上引っかかったら DROP する

コメント