В кода OpenSSH е добавена вградена защита от автоматизирани атаки за подбиране на пароли, при които ботове се опитват да познаят паролата на потребителя, изпробвайки различни стандартни комбинации. За блокиране на подобни атаки в конфигурационния файл sshd_config е добавен параметър PerSourcePenalties, позволяващ да се определи праг на блокиране, задействащ се при голям брой неуспешни опити за свързване от един IP адрес. Новият механизъм за защита ще бъде включен в следващото издание на OpenSSH и ще бъде активиран по подразбиране в OpenBSD 7.6.
При активиране на защитата процесът sshd започва да следи статуса на завършване на дъщерните процеси, определяйки ситуации, когато не е преминала аутентификация или когато процесът е бил аварийно завършен поради срив. Високата интензивност на сривовете при аутентификацията свидетелства за опити за подбиране на пароли, а аварийните завършвания могат да указват на опити за експлоатация на уязвимости в sshd.
Чрез параметъра PerSourcePenalties се задава минималният праг на аномални събития, след който IP адресът, за който е регистрирана подозрителна активност, ще бъде блокиран. С параметъра PerSourceNetBlockSize допълнително може да се определи маска на подсет, за да се блокира цялата подсет, към която принадлежи проблемният IP.
За деактивиране на блокировка за отделни подсетки е предложен параметър PerSourcePenaltyExemptList, който може да е полезен в ситуации, водещи до фалшиви срабатывания, например, когато към SSH сървъра се осъществяват запитвания от голяма мрежа, чийто различни потребители идват от едни и същи IP адреси поради използването на трансляция на адреси или прокси.
Източник: opennet.ru
