Zimbra OSE kaitse brute force ja DoS-rünnakute eest.

Zimbra Collaboration Suite Open-Source Edition omab oma arsenal mitmeid võimsaid tööriistu teabe turvamiseks. Nende hulka kuuluvad Postscreen — lahendus, mis kaitseb meiliserverit botnetide rünnakute eest, ClamAV — viirusetõrje, mis suudab kontrollida sissetulevaid faile ja kirju pahavara olemasolu suhtes, samuti SpamAssassin — üks parimaid rämpspostifiltreid täna. Kuid need tööriistad ei suuda kaitsta Zimbra OSE-d sellise rünnaku eest nagu bruteforce. Mitte kõige elegantsem, kuid endiselt piisavalt efektiivne paroolide proovimine erilise sõnastiku kaudu toob kaasa mitte ainult tõenäosuse, et sisse tungimise katse õnnestub koos kõikide sellest tulenevate tagajärgedega, vaid ka märkimisväärse koormuse serverile, mis töötleb kõiki ebaõnnestunud katseid Zimbra OSE serveri sisse tungimise katsetamisel.

Põhimõtteliselt saab end bruteforce'i eest kaitsta Zimbra OSE standardsete vahendite abil. Paroolipoliitika seadistused võimaldavad määrata ebaõnnestunud paroolisisestuste arvu, pärast mida potentsiaalselt rünnatav konto lukustatakse. Peamine probleem sellise lähenemisviisiga on see, et tekkida võivad olukorrad, kus ühe või mitme töötaja kontod võivad osutuda lukustatud bruteforce'i rünnaku tõttu, millega nad ei ole mingil viisil seotud, ja töötajate töökatkestus võib ettevõttele suuri kahjusid tuua. Just seetõttu on selline kaitsemeetod bruteforce'i eest parem mitte kasutada.

Ründinger üksuse kaitsmiseks brute force rünnakute eest sobib palju paremini spetsiaalne tööriist nimega DoSFilter, mis on integreeritud Zimbra OSE-sse ja suudab automaatselt katkestada ühenduse Zimbra OSE-ga HTTP kaudu. Teisisõnu, DoSFilteri tööpõhimõte on sarnane PostScreeni tööpõhimõttega, kuid seda kasutatakse teise protokolli jaoks. Algusest peale on see mõeldud piirama ühe kasutaja toimetamiste arvu, kuid DoSFilter suudab samuti pakkuda kaitset brute force rünnakute eest. Selle peamine erinevus Zimbraw kasutatava sisseehitatud tööriista järgi on see, et pärast teatud arvu ebaõnnestunud katseid blokeerib ta mitte kasutaja, vaid IP-aadressi, millelt palutakse mitu katset mingisse kontosse siseneda. Selle tõttu suudab süsteemiadministraator mitte ainult end kaitsta brute force rünnakute eest, vaid ka vältida ettevõtte töötajate blokeerimist, lisades oma ettevõtte sisemise võrgu usaldusväärsete IP-aadresside ja alamvõrkude loetellu.

DoSFilteri suur eelis on see, et lisaks mitmete katsete blokeerimisele erinevatesse kontodesse saab selle tööriista abil automaatselt blokeerida ka need kurjategijad, kes on saanud töötaja autentimisdashad ja seejärel edukalt tema kontosse sisse pääsenud ning alustanud serverisse sadade päringute saatmist.

DoSFilteri seadistamiseks saab kasutada järgmisi käsureakäsku:

• zimbraHttpDosFilterMaxRequestsPerSec — Selle käsu abil saab määrata maksimaalse ühenduste arvu, mis on lubatud ühe kasutaja jaoks. Vaikimisi on see väärtus 30 ühendust.
• zimbraHttpDosFilterDelayMillis — Selle käsu abil saab määrata viivituse millisekundites ühendustele, mis ületavad eelmise käsuga määratud piiri. Lisaks täisarvulistele väärtustele võib administraator määrata 0, et viivitust üldse ei oleks, ja -1, et kõik ühendused, mis ületavad määratud piiri, katkestatakse lihtsalt. Vaikimisi on see väärtus -1.
• zimbraHttpThrottleSafeIPs — Selle käsu abil saab administraator määrata usaldusväärsed IP-aadressid ja alamvõrgud, millele ei kohaldata ülaltoodud piiranguid. Tuleb märkida, et selle käsu süntaks võib varieeruda sõltuvalt soovitud tulemusest. Näiteks, sisestades käsu zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1, te saate täieliku loendi üle ja jätate sinna ainult ühe IP aadressi. Kui sisestate käskluse zmprov mcf +zimbraHttpThrottleSafeIPs 127.0.0.1, lisatakse teie sisestatud IP aadress valgesse nimekirja. Samamoodi saab miinusmärki kasutades eemaldada mõne IP aadressi lubatud loendist.

Oluline on märkida, et DoSFilter võib põhjustada mitmeid probleeme Zextras Suite Pro laienduste kasutamisel. Soovitame selle tõttu tõsta samaaegsete ühenduste arvu 30-lt 100-le kasutades käsku zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100. Samuti soovitame lisada ettevõtte sisevõrk lubatud nimekirja. Seda saab teha järgmise käsuga zmprov mcf +zimbraHttpThrottleSafeIPs 192.168.0.0/24. Pärast mis tahes muudatuste tegemist DoSFilteris käivitage kindlasti meiliserver uuesti käsuga zmmailboxdctl restart.

DoSFilteri suurim puudus on see, et see töötab rakenduse tasemel ja seetõttu suudab vaid piirata sissetungijate võimalusi erinevate toimingute tegemiseks serveris, samas kui paroolide autentimise või kirjade saatmise jaoks saadetud päringud, kuigi need on ette teada, et ebaõnnestuvad, jäävad siiski vanadeks DoS rünnakuteks, mida ei saa sellisel kõrgel tasemel peatada.

Et täielikult turvata oma ettevõtte server Zimbra OSE-ga, saab kasutada sellist lahendust nagu Fail2ban, mis on raamistik, mis suudab pidevalt jälgida infot Süsteemide logisid korduvate toimingute osas ja blokeerida rikkujaid tulemüüriseadete muutmise kaudu. Sellise madala taseme blokeerimine võimaldab sissetungijaid peatada otse IP-ühenduse faasis serveriga. Seetõttu saab Fail2Ban suurepäraselt täiendada kaitset, mis on üles ehitatud DoSFilteriga. Uurime, kuidas saame Fail2Bani Zimbra OSE-ga sõbrustada ja seeläbi suurendada teie ettevõtte IT-infrastruktuuri kaitset.

Nagu kõik muud ettevõtteklassid rakendused, hoiab Zimbra Collaboration Suite Open-Source Edition üksikasjalikke töölogisid. Enamik neist salvestatakse kaustas /opt/zimbra/log/ failidena. Siin on mõned neist:

• mailbox.log — Jetty postiteenuse logid
• audit.log — autentimise logid
• clamd.log — viirusetõrje logid
• freshclam.log — viirusetõrje värskenduste logid
• convertd.log — manuse konverteri logid
• zimbrastats.csv — serveri jõudluse logid

Zimbra logisid võib samuti leida failist /var/log/zimbra.log, kus Postfixi ja Zimbra logid on registreeritud.

Kaitsmiseks brute-force rünnakute eest jälgime mailbox.log, audit.log ja zimbra.log.

Selleks, et kõik toimiks, peab teie Zimbra OSE serverisse olema installitud Fail2Ban ja iptables. Kui kasutate Ubuntu, saate seda teha käskudega dpkg -s fail2ban, kui aga kasutate CentOS-i, siis saate seda kontrollida käskudega yum list installed fail2ban. Kui Fail2Ban pole teie süsteemi installitud, siis selle paigaldamine ei ole probleem, kuna see pakett on praktiliselt kõikides standaardsetes hoidlates olemas.

Pärast vajaliku tarkvara installeerimist saate alustada Fail2Bani seadistamist. Selleks tuleb luua konfiguratsioonifail /etc/fail2ban/filter.d/zimbra.conf, kuhu kirjutame Zimbra OSE logidele vastavad regulaaravaldised, mis seonduvad vale sisselogimisproovidega ja aktiveerivad Fail2Bani mehhanismid. Siin on näide zimbra.conf-i sisust, mis sisaldab erinevate vigade regulaaravaldisi, mis ilmnevad Zimbra OSE-s ebaõnnestunud autentimise korral:

# Fail2Ban configuration file
 
[Definition]
failregex = [ip=<HOST>;] account - authentication failed for .* (no such account)$
                        [ip=<HOST>;] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$
                        [oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$
                        WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$

ignoreregex =

Pärast Zimbra OSE regulaaravaldiste koostamist on aeg alustada Fail2Ban konfiguratsiooni redigeerimist. Selle utiliidi seaded asuvad failis /etc/fail2ban/jail.conf. Igaks juhuks teeme sellest varukoopia käsuga cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak. Pärast seda viige see fail ligikaudu järgmisse vormi:

# Fail2Ban configuration file
 
[DEFAULT]
ignoreip = 192.168.0.1/24
bantime = 600
findtime = 600
maxretry = 5
backend = auto
 
[ssh-iptables]
enabled = false
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=admin@company.ru, sender=fail2ban@company.ru]
logpath = /var/log/messages
maxretry = 5
 
[sasl-iptables]
enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, dest=support@company.ru]
logpath = /var/log/zimbra.log
 
[ssh-tcpwrapper]
enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=support@ company.ru]
ignoreregex = for myuser from
logpath = /var/log/messages
 
[zimbra-account]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-account]
sendmail[name=zimbra-account, dest=support@company.ru ]
logpath = /opt/zimbra/log/mailbox.log
bantime = 600
maxretry = 5
 
[zimbra-audit]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-audit]
sendmail[name=Zimbra-audit, dest=support@company.ru]
logpath = /opt/zimbra/log/audit.log
bantime = 600
maxretry = 5
 
[zimbra-recipient]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-recipient]
sendmail[name=Zimbra-recipient, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = 172800
maxretry = 5
 
[postfix]
enabled = true
filter = postfix
action = iptables-multiport[name=postfix, port=smtp, protocol=tcp]
sendmail-buffered[name=Postfix, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = -1
maxretry = 5

See näide on küllaltki universaalne, kuid tasub selgitada mõningaid parameetreid, mida võite soovida muuta Fail2Bani iseseisva seadistamise korral:

• Ignoreip — selle parameetri abil saate märkida konkreetse IP-aadressi või alamvõrgu, mille aadresse Fail2Ban ei tohi kontrollida. Tüüpiliselt lisatakse ignoreeritavate hulka ettevõtte sisevõrk ja muud usaldusväärsed aadressid.
• Bantime — Aeg, mille jooksul on rikkuja keelatud. Aeg mõõdetakse sekundites. Väärtus -1 tähendab määramatut keelu.
• Maxretry — Maksimaalne kordade arv, kui üks IP-aadress võib proovida serverisse pääseda.
• Sendmail — Seade, mis võimaldab automaatselt saata e-posti teavitusi Fail2Ban'i aktiveerimise kohta.
• Findtime — Seade, mis võimaldab määrata ajavahemiku, pärast mille möödumist võib IP-aadress uuesti proovida serverisse pääseda pärast maksimaalsete ebaõnnestunud katsete (parameeter maxretry) ammendumist.

Pärast Fail2Ban'i seadete faili salvestamist tuleb lihtsalt see utiliit taaskäivitada käsuga service fail2ban restart. Pärast taaskäivitamist hakkavad Zimbra peamised logid pidevalt jälgima regulaaravaldiste vastavust. Tänu sellele saab administraator tegelikult välistada mis tahes võimaluse sissetungijalt mitte ainult Zimbra Collaboration Suite Open-Source Edition'i poiste postkastidesse sisenemist, vaid ka kaitsta kõiki Zimbra OSE raames töötavaid teenuseid ning olla kursis mistahes volitamata juurdepääsu katsetest.

Küsimuste korral, mis on seotud Zextras Suite'iga, võite pöörduda ettevõtte «Zextras» esindaja Ekaterina Triandafiliidi poole e-posti aadressil katerina@zextras.com

Allikas: habr.com