Zimbra OSE kaitse bruteforce'i ja DoS-rünnakute eest

Zimbra Collaboration Suite Open-Source Edition sisaldab mitmeid tugevaid tööriistu teabe turvalisuse tagamiseks. Nende hulka kuuluvad Postscreen — lahendus, mis kaitseb meiliserverit botnet'ide rünnakute eest, ClamAV — viirusetõrje, mis suudab kontrollida sissetulevaid faile ja e-kirju pahavara tunnuste suhtes, samuti SpamAssassin — üks parimaid rämpsposti filtreid praegu. Siiski ei suuda need tööriistad tagada Zimbra OSE kaitset selliste rünnakute, nagu bruteforce, eest. Kuigi see pole kõige elegantsem, on sõnaraamatute põhjal tehtav paroolide järkjärguline katsetamine endiselt tõhus ning võib põhjustada mitte ainult eduka häkkimise tõenäosust, vaid ka märkimisväärset koormust serverile, mis töötab läbi kõik ebaõnnestunud sissepääsukatseted Zimbra OSE serverisse.

Põhimõtteliselt on Zimbra OSE-ga bruteforce'i vastu kaitsmiseks olemas standardseid mehhanisme. Paroolipoliitika seaded võimaldavad määrata ebaõnnestunud paroolisisestamise katsete arvu, mille järel potentsiaalselt rünnatav konto lukustatakse. Selle lähenemise peamine probleem on, et võivad tekkida olukorrad, kus ühe või mitme töötaja kontod lukustatakse bruteforce'i rünnaku tõttu, millega nad ei ole kuidagi seotud, ja töötajate töökatkestused võivad ettevõttele tekitada suuri kahjusid. Just seetõttu on selline kaitse bruteforce'i eest kõige parem mitte rakendada.

Bruteforce'i kaitsmiseks sobib palju paremini spetsiaalne tööriist nimega DoSFilter, mis on integreeritud Zimbra OSE-sse ja suudab automaatselt katkestada ühenduse Zimbra OSE-ga HTTP kaudu. Teisisõnu, DoSFilteri toimimise põhimõte on sarnane PostScreenile, kuid seda kasutatakse teise protokolli jaoks. Algusest peale on selle eesmärk piirata ühe kasutaja tegevuste arvu, kuid DoSFilter suudab ka bruteforce'i vastu kaitsta. Peamine erinevus Zimbra integreeritud tööriistast on see, et pärast ettenähtud ebaõnnestunud katsete arvu lukustab see mitte kasutaja, vaid IP-aadress, millest tehakse korduvaid katseid siseneda erinevatesse kontodesse. Tänu sellele saab süsteemiadministraator mitte ainult kaitsta end bruteforce'i eest, vaid vältida ka ettevõtte töötajate lukustamist, lisades oma ettevõtte sisevõrgu usaldusväärsete IP-aadresside nimekirja.

DoSFilteri suur eelis on see, et lisaks arvukatele katsetele siseneda erinevatesse kontodesse suudab see tööriist automaatselt blokeerida neid kurjategijaid, kes on saadud töötajate autentimisandmeid, pääsenud nende kontodesse ja alustanud serverile sadade päringute saatmist.

DoSFilteri seadistamiseks saab kasutada järgmisi konsooli käske:

• zimbraHttpDosFilterMaxRequestsPerSec — selle käsu abil saab määrata maksimaalse ühenduste arvu, mis on lubatud ühe kasutaja jaoks. Vaikimisi on see väärtus 30 ühendust.
• zimbraHttpDosFilterDelayMillis — selle käsu abil saab määrata viivituse millisekundites ühendustele, mis ületavad eelmise käsu määratud limiidi. Lisaks täisarvulistele väärtustele saab administraator määrata 0, et viivitusi ei oleks, või -1, et kõik ühendused, mis ületavad määratud limiidi, katkestataks. Vaikimisi on see väärtus -1.
• zimbraHttpThrottleSafeIPs — selle käsu abil saab administraator märkida usaldusväärsed IP-aadressid ja alamvõrgud, millele ei kohaldata eelpool loetletud piiranguid. Tuleb märkida, et selle käsu süntaks võib varieeruda sõltuvalt soovitud tulemusest. Näiteks sisestades käsu zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1, kirjutate te täielikult üle kogu nimekirja ja jätate sinna vaid ühe IP-aadressi. Kui kirjutate käsu zmprov mcf +zimbraHttpThrottleSafeIPs 127.0.0.1, lisatakse sisestatud IP-aadress valgesse nimekirja. Samamoodi saab miinusmärki kasutades eemaldada mõne IP aadressi lubatud nimekirjast.

Tuleb märkida, et DoSFilter võib põhjustada mitmeid probleeme Zextras Suite Pro laienduste kasutamisel. Selle vältimiseks soovitame suurendada samade ühenduste arvu 30-lt 100-le käsu abil zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100. Lisaks soovitame lisada ettevõtte sisevõrk lubatud nimekirja. Seda saab teha käsu kaudu zmprov mcf +zimbraHttpThrottleSafeIPs 192.168.0.0/24. Pärast muudatuste tegemist DoSFilteris peate kindlasti oma meiliserveri taaskäivitama käsuga zmmailboxdctl restart.

DoSFilteri peamiseks puuduseks on, et see töötab rakendustasandil, mistõttu suudab see vaid piirata ründajate võimalusi erinevates tegevustes serveris, mitte aga ühenduse loomist serveriga. Seetõttu saadetud autentimis- või e-kirjade saatmise päringud, kuigi need on eelnevalt ebaõnnestunud, tõenäoliselt siiski esindavad endist head DoS-rünnakut, mida on kõrgel tasemel peatada võimatu.

Et täielikult kaitsta oma Zimbra OSE ettevõtte serverit, saate kasutada lahendust nimega Fail2ban, mis on raamistik, mis suudab pidevalt jälgida teabe süsteemide logisid korduvate tegevuste osas ja blokeerida rikkumise autorit, muutes tulemüüri seadeid. Madalal tasemel blokkimine võimaldab katkestada ründajat juba IP-ühenduse loomise etapil serveriga. Seega saab Fail2Ban suurepäraselt täiendada DoSFilteriga loodud kaitset. Uurime, kuidas saab Fail2Ban't ühendada Zimbra OSE-ga, et tõsta teie ettevõtte IT-infrastruktuuri turvalisust.

Nagu iga teinegi ettevõtte klassi rakendus, säilitab Zimbra Collaboration Suite Open-Source Edition põhjalikke logisid oma tööst. Enamik neist salvestatakse kausta /opt/zimbra/log/ failide kujul. Siin on vaid mõned neist:

• mailbox.log — Jetty meiliteenuse logid
• audit.log — autentimislogid
• clamd.log — viirusetõrje tööl logid
• freshclam.log — viirusetõrje uuenduste logid
• convertd.log — manusede konversiooni logid
• zimbrastats.csv — serveri jõudluse logid

Lisaks leiate Zimbra logid failist /var/log/zimbra.log, kus säilitatakse Postfixi ja Zimbra enda logisid.

Kaitseks meie süsteemi brute-force rünnakute eest, jälgime me mailbox.log, audit.log ja zimbra.log.

Selleks, et kõik sujuks, peab teie Zimbra OSE serveris olema installitud Fail2Ban ja iptables. Kui kasutate Ubuntu't, saate seda kontrollida käskudega dpkg -s fail2ban, samas kui CentOSi puhul saate selle kontrollida käskudega yum list installed fail2ban. Kui Fail2Ban'i ei ole paigaldatud, ei tohiks selle installeerimine olla probleem, kuna see pakett on peaaegu kõigis standardsetes hoidlatest olemas.

Pärast kõigi vajalike tarkvarade installimist võite alustada Fail2Ban'i seadistamisega. Selleks peate looma konfigureerimisfaili /etc/fail2ban/filter.d/zimbra.conf, kuhu kirjutame regulaaravaldised Zimbra OSE logide jaoks, mis vastavad valele sisselogimise katsele ja aktiveerivad Fail2Ban'i süsteemid. Siin on näidis zimbra.conf'i sisu, kus on kogumik regulaaravaldisi, mis vastavad Zimbra OSE-s antud erinevatele vigadele, mis tekivad ebaõnnestunud autentimisürituste korral:

# Fail2Ban configuration file
 
[Definition]
failregex = [ip=<HOST>;] account - authentication failed for .* (no such account)$
                        [ip=<HOST>;] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$
                        [oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$
                        WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$

ignoreregex =

Kui regulaaravaldised Zimbra OSE-le on koostatud, on aeg hakata redigeerima Fail2Ban'i enda konfigureerimist. Selle utiliidi seadistused asuvad failis /etc/fail2ban/jail.conf. Juhuks, kui teeme selle varukoopia käsuga cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak. Pärast seda kohandame seda faili järgmiseks:

# Fail2Ban configuration file
 
[DEFAULT]
ignoreip = 192.168.0.1/24
bantime = 600
findtime = 600
maxretry = 5
backend = auto
 
[ssh-iptables]
enabled = false
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=admin@company.ru, sender=fail2ban@company.ru]
logpath = /var/log/messages
maxretry = 5
 
[sasl-iptables]
enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, dest=support@company.ru]
logpath = /var/log/zimbra.log
 
[ssh-tcpwrapper]
enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=support@ company.ru]
ignoreregex = for myuser from
logpath = /var/log/messages
 
[zimbra-account]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-account]
sendmail[name=zimbra-account, dest=support@company.ru ]
logpath = /opt/zimbra/log/mailbox.log
bantime = 600
maxretry = 5
 
[zimbra-audit]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-audit]
sendmail[name=Zimbra-audit, dest=support@company.ru]
logpath = /opt/zimbra/log/audit.log
bantime = 600
maxretry = 5
 
[zimbra-recipient]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-recipient]
sendmail[name=Zimbra-recipient, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = 172800
maxretry = 5
 
[postfix]
enabled = true
filter = postfix
action = iptables-multiport[name=postfix, port=smtp, protocol=tcp]
sendmail-buffered[name=Postfix, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = -1
maxretry = 5

See näidis on küllaltki universaalne, kuid tasub selgitada mõningaid parameetreid, mida võite soovida muuta, kui seadistate Fail2Ban'i iseseisvalt:

• Ignoreip — selle parameetri abil saate määrata konkreetse IP või alamvõrgu, mille aadresse Fail2Ban ei peaks kontrollima. Tüüpiliselt lisatakse ignoreeritavate nimekirja ettevõtte sisemine võrk ja teised usaldusväärsed aadressid.
• Bantime — Aeg, mille jooksul rikkuja on bansitud. Aeg on antud sekundites. Väärtus -1 tähendab eluaegset banni.
• Maxretry — Maksimaalne arv, kui palju üks IP-aadress võib proovida serverisse pääseda.
• Sendmail — Seade, mis võimaldab automaatselt saata e-posti teateid Fail2Ban'i aktiveerumise kohta.
• Findtime — Seade, mis võimaldab määrata ajavahemiku, pärast mille möödumist saab IP-aadress uuesti proovida pääseda serverisse pärast maksimaalse ebaõnnestunud katsete arvu ammendumist (parameeter maxretry).

Pärast Fail2Ban'i seadistamiseks mõeldud faili salvestamist tuleb see utiliit taaskäivitada käsuga service fail2ban restart. Pärast taaskäivitamist hakkavad Zimbra peamised logid pidevalt jälgima regulaaravaldiseid. Tänu sellele suudab administraator praktiliselt välistada võimaluse, et kurjategija pääseks juurde mitte ainult Zimbra Collaboration Suite Open-Source Edition'i postkastidele, vaid ka kaitsta kõiki Zimbra OSE raames töötavaid teenuseid ning olla kursis võimalike volitamata juurdepääsu katsetega.

Küsimuste korral, mis on seotud Zextras Suite'iga, võite pöörduda Zextra esindaja Ekaterina Triandafiliidi poole e-posti teel katerina@zextras.com

Allikas: habr.com