जिम्ब्रा ओएसई को क्रूर बल और DoS हमलों से बचाएं

जिम्ब्रा सहयोग सुइट ओपन-सोर्स संस्करण में सूचना सुरक्षा सुनिश्चित करने के लिए कई शक्तिशाली उपकरण हैं। उनमें से पोस्टस्क्रीन - मेल सर्वर को बॉटनेट के हमलों से बचाने के लिए एक समाधान, क्लैमएवी - एक एंटीवायरस जो आने वाली फ़ाइलों और पत्रों को दुर्भावनापूर्ण प्रोग्रामों से संक्रमण के लिए स्कैन कर सकता है, साथ ही SpamAssassin - आज के सर्वोत्तम स्पैम फ़िल्टर में से एक। हालाँकि, ये उपकरण जिम्ब्रा ओएसई को क्रूर बल के हमलों से बचाने में असमर्थ हैं। सबसे सुरुचिपूर्ण नहीं, लेकिन फिर भी काफी प्रभावी, एक विशेष शब्दकोश का उपयोग करते हुए क्रूर-बलपूर्वक पासवर्ड न केवल सभी आगामी परिणामों के साथ सफल हैकिंग की संभावना से भरा है, बल्कि सर्वर पर एक महत्वपूर्ण लोड के निर्माण से भी भरा है, जो सभी को संसाधित करता है जिम्ब्रा ओएसई के साथ सर्वर को हैक करने का असफल प्रयास।

सिद्धांत रूप में, आप मानक ज़िम्ब्रा ओएसई टूल का उपयोग करके खुद को क्रूर बल से बचा सकते हैं। पासवर्ड सुरक्षा नीति सेटिंग्स आपको असफल पासवर्ड प्रविष्टि प्रयासों की संख्या निर्धारित करने की अनुमति देती हैं, जिसके बाद संभावित रूप से हमला किया गया खाता अवरुद्ध कर दिया जाता है। इस दृष्टिकोण के साथ मुख्य समस्या यह है कि ऐसी स्थितियाँ उत्पन्न होती हैं जिनमें एक या एक से अधिक कर्मचारियों के खाते क्रूर बल के हमले के कारण अवरुद्ध हो सकते हैं, जिनसे उनका कोई लेना-देना नहीं होता है, और परिणामस्वरूप कर्मचारियों के काम में रुकावट के कारण बड़ा नुकसान हो सकता है। कंपनी। इसीलिए बेहतर होगा कि क्रूर बल से सुरक्षा के इस विकल्प का उपयोग न किया जाए।

क्रूर बल से बचाने के लिए, DoSFilter नामक एक विशेष उपकरण अधिक उपयुक्त है, जो जिम्ब्रा OSE में बनाया गया है और HTTP के माध्यम से जिम्ब्रा OSE से कनेक्शन को स्वचालित रूप से समाप्त कर सकता है। दूसरे शब्दों में, DoSFilter का संचालन सिद्धांत पोस्टस्क्रीन के संचालन सिद्धांत के समान है, केवल इसका उपयोग एक अलग प्रोटोकॉल के लिए किया जाता है। मूल रूप से एक उपयोगकर्ता द्वारा किए जाने वाले कार्यों की संख्या को सीमित करने के लिए डिज़ाइन किया गया, DoSFilter क्रूर बल सुरक्षा भी प्रदान कर सकता है। ज़िम्ब्रा में निर्मित टूल से इसका मुख्य अंतर यह है कि एक निश्चित संख्या में असफल प्रयासों के बाद, यह उपयोगकर्ता को स्वयं ब्लॉक नहीं करता है, बल्कि उस आईपी पते को ब्लॉक करता है जिससे किसी विशेष खाते में लॉग इन करने के लिए कई प्रयास किए जाते हैं। इसके लिए धन्यवाद, एक सिस्टम प्रशासक न केवल क्रूर बल से रक्षा कर सकता है, बल्कि अपनी कंपनी के आंतरिक नेटवर्क को विश्वसनीय आईपी पते और सबनेट की सूची में जोड़कर कंपनी के कर्मचारियों को ब्लॉक करने से भी बचा सकता है।

DoSFilter का बड़ा लाभ यह है कि किसी विशेष खाते में लॉग इन करने के कई प्रयासों के अलावा, इस टूल का उपयोग करके आप उन हमलावरों को स्वचालित रूप से ब्लॉक कर सकते हैं जिन्होंने किसी कर्मचारी के प्रमाणीकरण डेटा पर कब्ज़ा कर लिया, और फिर सफलतापूर्वक उसके खाते में लॉग इन किया और सैकड़ों अनुरोध भेजना शुरू कर दिया। सर्वर को.

आप निम्नलिखित कंसोल कमांड का उपयोग करके DoSFilter को कॉन्फ़िगर कर सकते हैं:

• zimbraHttpDosFilterMaxRequestsPerSec - इस कमांड का उपयोग करके, आप एक उपयोगकर्ता के लिए अनुमत कनेक्शन की अधिकतम संख्या निर्धारित कर सकते हैं। डिफ़ॉल्ट रूप से यह मान 30 कनेक्शन है.
• zimbraHttpDosFilterDelayMillis - इस कमांड का उपयोग करके, आप उन कनेक्शनों के लिए मिलीसेकेंड में देरी सेट कर सकते हैं जो पिछले कमांड द्वारा निर्दिष्ट सीमा से अधिक होंगे। पूर्णांक मानों के अलावा, व्यवस्थापक 0 निर्दिष्ट कर सकता है, ताकि कोई देरी न हो, और -1, ताकि निर्दिष्ट सीमा से अधिक सभी कनेक्शन आसानी से बाधित हो जाएं। डीफॉल्ट मूल्य 1 है।
• zimbraHttpThrottleSafeIPs - इस आदेश का उपयोग करके, व्यवस्थापक विश्वसनीय आईपी पते और सबनेट निर्दिष्ट कर सकता है जो ऊपर सूचीबद्ध प्रतिबंधों के अधीन नहीं होंगे। ध्यान दें कि इस कमांड का सिंटैक्स वांछित परिणाम के आधार पर भिन्न हो सकता है। इसलिए, उदाहरण के लिए, कमांड दर्ज करके zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1, आप पूरी सूची को पूरी तरह से अधिलेखित कर देंगे और इसमें केवल एक आईपी पता छोड़ देंगे। यदि आप कमांड दर्ज करते हैं zmprov mcf +zimbraHttpThrottleSafeIPs 127.0.0.1, आपके द्वारा दर्ज किया गया आईपी पता श्वेत सूची में जोड़ा जाएगा। इसी प्रकार, घटाव चिह्न का उपयोग करके, आप किसी भी आईपी को अनुमत सूची से हटा सकते हैं।

कृपया ध्यान दें कि Zextras Suite Pro एक्सटेंशन का उपयोग करते समय DoSFilter कई समस्याएं पैदा कर सकता है। उनसे बचने के लिए, हम कमांड का उपयोग करके एक साथ कनेक्शन की संख्या 30 से बढ़ाकर 100 करने की सलाह देते हैं zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100. इसके अलावा, हम एंटरप्राइज़ आंतरिक नेटवर्क को अनुमत नेटवर्क की सूची में जोड़ने की अनुशंसा करते हैं। यह कमांड का उपयोग करके किया जा सकता है zmprov mcf +zimbraHttpThrottleSafeIPs 192.168.0.0/24. DoSFilter में कोई भी बदलाव करने के बाद, कमांड का उपयोग करके अपने मेल सर्वर को पुनरारंभ करना सुनिश्चित करें zmmailboxdctl पुनरारंभ करें.

DoSFilter का मुख्य नुकसान यह है कि यह एप्लिकेशन स्तर पर काम करता है और इसलिए उत्तर से जुड़ने की क्षमता को सीमित किए बिना, सर्वर पर विभिन्न कार्यों को करने के लिए हमलावरों की क्षमता को सीमित कर सकता है। इस वजह से, प्रमाणीकरण या पत्र भेजने के लिए सर्वर पर भेजे गए अनुरोध, हालांकि वे स्पष्ट रूप से विफल हो जाएंगे, फिर भी एक अच्छे पुराने DoS हमले का प्रतिनिधित्व करेंगे, जिसे इतने उच्च स्तर पर रोका नहीं जा सकता है।

अपने कॉर्पोरेट सर्वर को ज़िम्ब्रा OSE के साथ पूरी तरह से सुरक्षित करने के लिए, आप Fail2ban जैसे समाधान का उपयोग कर सकते हैं, जो एक ऐसा ढांचा है जो बार-बार की जाने वाली कार्रवाइयों के लिए सूचना प्रणाली लॉग की लगातार निगरानी कर सकता है और फ़ायरवॉल सेटिंग्स को बदलकर घुसपैठिए को ब्लॉक कर सकता है। इतने निम्न स्तर पर ब्लॉक करने से आप सर्वर से आईपी कनेक्शन के चरण में ही हमलावरों को निष्क्रिय कर सकते हैं। इस प्रकार, Fail2Ban DoSFilter का उपयोग करके निर्मित सुरक्षा को पूरी तरह से पूरक कर सकता है। आइए जानें कि आप Fail2Ban को जिम्ब्रा OSE से कैसे जोड़ सकते हैं और इस तरह अपने उद्यम के आईटी बुनियादी ढांचे की सुरक्षा बढ़ा सकते हैं।

किसी भी अन्य एंटरप्राइज़-श्रेणी एप्लिकेशन की तरह, ज़िम्ब्रा सहयोग सुइट ओपन-सोर्स संस्करण अपने काम का विस्तृत लॉग रखता है। उनमें से अधिकांश फ़ोल्डर में संग्रहीत हैं /ऑप्ट/जिम्ब्रा/लॉग/ फ़ाइलों के रूप में. यहां उनमें से कुछ दिए गए हैं:

• mailbox.log - जेट्टी मेल सेवा लॉग
• ऑडिट.लॉग - प्रमाणीकरण लॉग
• clamd.log — एंटीवायरस ऑपरेशन लॉग
• Freshclam.log - एंटीवायरस अद्यतन लॉग
• Convertd.log - अनुलग्नक कनवर्टर लॉग
• zimbrastats.csv - सर्वर प्रदर्शन लॉग

जिम्ब्रा लॉग भी फ़ाइल में पाए जा सकते हैं /var/log/zimbra.log, जहां पोस्टफ़िक्स और ज़िम्ब्रा के लॉग स्वयं रखे जाते हैं।

अपने सिस्टम को क्रूर बल से बचाने के लिए, हम निगरानी करेंगे मेलबॉक्स.लॉग, हिसाब सूचि и ज़िम्ब्रा.लॉग.

सब कुछ काम करने के लिए, यह आवश्यक है कि आपके सर्वर पर जिम्ब्रा OSE के साथ Fail2Ban और iptables इंस्टॉल हों। यदि आप उबंटू का उपयोग कर रहे हैं, तो आप कमांड का उपयोग करके ऐसा कर सकते हैं डीपीकेजी -एस फेल2बैन, यदि आप CentOS का उपयोग करते हैं, तो आप कमांड का उपयोग करके इसे जांच सकते हैं यम सूची इंस्टॉल फ़ेल2बैन. यदि आपके पास Fail2Ban स्थापित नहीं है, तो इसे स्थापित करने में कोई समस्या नहीं होगी, क्योंकि यह पैकेज लगभग सभी मानक रिपॉजिटरी में उपलब्ध है।

एक बार सभी आवश्यक सॉफ़्टवेयर इंस्टॉल हो जाने पर, आप Fail2Ban की स्थापना शुरू कर सकते हैं। ऐसा करने के लिए आपको एक कॉन्फ़िगरेशन फ़ाइल बनानी होगी /etc/fail2ban/filter.d/zimbra.conf, जिसमें हम ज़िम्ब्रा OSE लॉग के लिए नियमित अभिव्यक्ति लिखेंगे जो गलत लॉगिन प्रयासों से मेल खाएंगे और Fail2Ban तंत्र को ट्रिगर करेंगे। यहां zimbra.conf की सामग्री का एक उदाहरण दिया गया है, जिसमें विभिन्न त्रुटियों के अनुरूप नियमित अभिव्यक्तियों का एक सेट है, जो कि प्रमाणीकरण प्रयास विफल होने पर Zimbra OSE उत्पन्न करता है:

# Fail2Ban configuration file
 
[Definition]
failregex = [ip=<HOST>;] account - authentication failed for .* (no such account)$
                        [ip=<HOST>;] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$
                        [oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$
                        WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$

ignoreregex =

एक बार जोम्ब्रा ओएसई के लिए रेगुलर एक्सप्रेशन संकलित हो जाने के बाद, Fail2ban के कॉन्फ़िगरेशन को संपादित करना शुरू करने का समय आ गया है। इस उपयोगिता की सेटिंग्स फ़ाइल में स्थित हैं /etc/fail2ban/jail.conf. बस मामले में, आइए कमांड का उपयोग करके इसकी एक बैकअप प्रतिलिपि बनाएं सीपी /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak. उसके बाद, हम इस फ़ाइल को लगभग निम्न रूप में छोटा कर देंगे:

# Fail2Ban configuration file
 
[DEFAULT]
ignoreip = 192.168.0.1/24
bantime = 600
findtime = 600
maxretry = 5
backend = auto
 
[ssh-iptables]
enabled = false
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, [email protected], [email protected]]
logpath = /var/log/messages
maxretry = 5
 
[sasl-iptables]
enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, [email protected]]
logpath = /var/log/zimbra.log
 
[ssh-tcpwrapper]
enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=support@ company.ru]
ignoreregex = for myuser from
logpath = /var/log/messages
 
[zimbra-account]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-account]
sendmail[name=zimbra-account, [email protected] ]
logpath = /opt/zimbra/log/mailbox.log
bantime = 600
maxretry = 5
 
[zimbra-audit]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-audit]
sendmail[name=Zimbra-audit, [email protected]]
logpath = /opt/zimbra/log/audit.log
bantime = 600
maxretry = 5
 
[zimbra-recipient]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-recipient]
sendmail[name=Zimbra-recipient, [email protected]]
logpath = /var/log/zimbra.log
bantime = 172800
maxretry = 5
 
[postfix]
enabled = true
filter = postfix
action = iptables-multiport[name=postfix, port=smtp, protocol=tcp]
sendmail-buffered[name=Postfix, [email protected]]
logpath = /var/log/zimbra.log
bantime = -1
maxretry = 5

हालाँकि यह उदाहरण काफी सामान्य है, फिर भी यह कुछ मापदंडों को समझाने लायक है जिन्हें आप स्वयं Fail2Ban सेट करते समय बदलना चाह सकते हैं:

• नजरअंदाज करें - इस पैरामीटर का उपयोग करके आप एक विशिष्ट आईपी या सबनेट निर्दिष्ट कर सकते हैं जिससे Fail2Ban को पते की जांच नहीं करनी चाहिए। एक नियम के रूप में, उद्यम के आंतरिक नेटवर्क और अन्य विश्वसनीय पते को नजरअंदाज किए गए लोगों की सूची में जोड़ा जाता है।
• बैंटटाइम - वह समय जिसके लिए अपराधी पर प्रतिबंध लगाया जाएगा। सेकंड में मापा गया. -1 का मान स्थायी प्रतिबंध का मतलब है।
• मैक्सरेट्री - एक आईपी एड्रेस अधिकतम कितनी बार सर्वर तक पहुंचने का प्रयास कर सकता है।
• sendmail - एक सेटिंग जो आपको Fail2Ban ट्रिगर होने पर स्वचालित रूप से ईमेल सूचनाएं भेजने की अनुमति देती है।
• समय ढूंढें - एक सेटिंग जो आपको समय अंतराल सेट करने की अनुमति देती है जिसके बाद आईपी एड्रेस असफल प्रयासों की अधिकतम संख्या समाप्त होने के बाद फिर से सर्वर तक पहुंचने का प्रयास कर सकता है (मैक्सरेट्री पैरामीटर)

फ़ाइल को Fail2Ban सेटिंग्स के साथ सहेजने के बाद, जो कुछ बचा है वह कमांड का उपयोग करके इस उपयोगिता को पुनरारंभ करना है सेवा विफल2बान पुनरारंभ करें. पुनरारंभ के बाद, नियमित अभिव्यक्ति के अनुपालन के लिए मुख्य ज़िम्ब्रा लॉग की लगातार निगरानी की जानी शुरू हो जाएगी। इसके लिए धन्यवाद, व्यवस्थापक न केवल ज़िम्ब्रा सहयोग सुइट ओपन-सोर्स संस्करण मेलबॉक्स में घुसपैठ करने वाले हमलावर की किसी भी संभावना को लगभग समाप्त करने में सक्षम होगा, बल्कि ज़िम्ब्रा ओएसई के भीतर चल रही सभी सेवाओं की सुरक्षा भी करेगा, और अनधिकृत पहुंच प्राप्त करने के किसी भी प्रयास के बारे में भी जागरूक रहेगा। .

ज़ेक्स्ट्रास सुइट से संबंधित सभी प्रश्नों के लिए, आप ज़ेक्स्ट्रास के प्रतिनिधि एकातेरिना ट्रायंडाफिलिडी से ई-मेल द्वारा संपर्क कर सकते हैं। [ईमेल संरक्षित]

स्रोत: www.habr.com