In den OpenSSH-Code wurde ein integrierter Schutz gegen automatisierte Passwort-Brute-Force-Angriffe eingeführt, bei denen Bots versuchen, das Benutzerpasswort durch das Durchprobieren verschiedener gängiger Kombinationen zu erraten. Um solche Angriffe zu blockieren, wurde der Parameter PerSourcePenalties zur Konfigurationsdatei sshd_config hinzugefügt. Dieser ermöglicht es, eine Sper Schwelle festzulegen, die bei einer hohen Anzahl an fehlerhaften Verbindungsversuchen von einer IP-Adresse aktiviert wird. Der neue Schutzmechanismus wird in die nächste Version von OpenSSH aufgenommen und standardmäßig in OpenBSD 7.6 aktiviert sein.
Bei aktivierter Schutzfunktion beginnt der Prozess sshd, den Status der beendeten Kindprozesse zu überwachen und erkennt Situationen, in denen die Authentifizierung fehlgeschlagen ist oder der Prozess aufgrund eines Fehlers unerwartet beendet wurde. Eine hohe Anzahl von Authentifizierungsfehlern weist auf Passwort-Brute-Force-Versuche hin, während ein unerwartetes Beenden auf Versuche zur Ausnutzung von Sicherheitsanfälligkeiten in sshd hinweisen kann.
Über den Parameter PerSourcePenalties wird ein Mindestschwellenwert für anomale Ereignisse festgelegt. Wenn dieser überschritten wird, wird die IP-Adresse, bei der verdächtige Aktivitäten festgestellt wurden, gesperrt. Mit dem Parameter PerSourceNetBlockSize kann zusätzlich die Subnetzmaske definiert werden, um das gesamte Subnetz zu blockieren, zu dem die problematische IP gehört.
Um die Sperrreaktion für bestimmte Subnetze zu deaktivieren, wurde der Parameter PerSourcePenaltyExemptList eingeführt, der in Situationen nützlich sein kann, die zu Fehlalarmen führen, beispielsweise wenn Anfragen von einer großen Netzwerkinfrastruktur an den SSH-Server gesendet werden und verschiedene Benutzer von derselben IP-Adresse aus auf Grund der Nutzung von Adressübersetzern oder Proxys darauf zugreifen.
Quelle: opennet.ru
