Come se non bastasse, mentre sto scrivendo un rapporto di analisi di due algoritmi di apprendimento automatico applicati alla classificazione di email spazzatura, mi ritrovo a scombattere anche con lo spamming in altre forme.
Dopo aver debellato quello sul blog per il quale ho dovuto tra l’altro abilitare entrambi i sistemi Askimet e Hashcash perché singolarmente non garantivano il 100% della pulizia (evviva la difesa in profondità), ora sono passato sul fronte dell’SSH. Sì, può sembrare strano ma anche lì arriva spam, questa volta inteso come molteplici tentativi di connessione.
Ecco le regole del firewall impostate:
-
iptables -N SSH-EVIL
-
iptables -A SSH-EVIL -m recent –name badSSH –set -j LOG –log-level DEBUG –log-prefix "evil SSH user: "
-
iptables -A SSH-EVIL -j REJECT
-
iptables -N SSH
-
iptables -A SSH -p tcp ! –syn -m state –state ESTABLISHED,RELATED -j ACCEPT
-
iptables -A SSH -p tcp –syn -m recent –name badSSH –rcheck –seconds 300 -j REJECT
-
iptables -A SSH -p tcp –syn -m recent –name sshconn –rcheck –seconds 60 –hitcount 3 –rttl -j SSH-EVIL
-
iptables -A SSH -p tcp –syn -m recent –name sshconn –set
-
iptables -A SSH -p tcp –syn -j ACCEPT
-
iptables -A INPUT -p tcp –dport 22 -j SSH
Nella prima catena vanno a finire tutti i pacchetti di richesta di connessione che superano certi parametri venendo quindi loggati e poi scartati.
La seconda catena controlla la soglia di questi parametri:
- Vengono accettati tutti i pacchetti appartenenti a connessioni precedentemente stabilite;
- Tutti i pacchetti che vengono classificati come badSSH vengono rifiutati se compaiono nella lista negli ultimi 300 secondi;
- I pacchetti che compiono 3 tentativi nell’ultimo minuto vengono inviati all’altra catena che provvederà a settarli come maligni;
- Tutti i pacchetti di richiesta di connessione vengono aggiunti per l’elaborazione nel modulo recent;
- Accetta tutti i pacchetti di connessione.
L’ultima regola banalmente invia tutti i pacchetti che giungono sulla porta 22 alla catena sopraccitata.
Tags: blog, firewall, plugin, spam, ssh