დაიცავით Zimbra OSE უხეში ძალისა და DoS შეტევებისგან

Zimbra Collaboration Suite Open-Source Edition-ს აქვს რამდენიმე ძლიერი ინსტრუმენტი ინფორმაციის უსაფრთხოების უზრუნველსაყოფად. Მათ შორის პოსტეკრანი - გამოსავალი ფოსტის სერვერის ბოტნეტების შეტევებისგან დასაცავად, ClamAV - ანტივირუსი, რომელსაც შეუძლია შემომავალი ფაილების და ასოების სკანირება მავნე პროგრამებით ინფექციისთვის, ასევე SpamAssassin - დღეს ერთ-ერთი საუკეთესო სპამის ფილტრი. თუმცა, ამ ინსტრუმენტებს არ შეუძლიათ დაიცვან Zimbra OSE უხეში ძალის შეტევებისგან. არა ყველაზე ელეგანტური, მაგრამ მაინც საკმაოდ ეფექტური, უხეში იძულებითი პაროლები სპეციალური ლექსიკონის გამოყენებით სავსეა არა მხოლოდ წარმატებული ჰაკერების ალბათობით ყველა შემდგომი შედეგით, არამედ სერვერზე მნიშვნელოვანი დატვირთვის შექმნით, რომელიც ამუშავებს ყველაფერს. სერვერის გატეხვის წარუმატებელი მცდელობები Zimbra OSE-ით.

პრინციპში, თქვენ შეგიძლიათ დაიცვათ თავი უხეში ძალისგან სტანდარტული Zimbra OSE ხელსაწყოების გამოყენებით. პაროლის უსაფრთხოების პოლიტიკის პარამეტრები საშუალებას გაძლევთ დააყენოთ პაროლის შეყვანის წარუმატებელი მცდელობების რაოდენობა, რის შემდეგაც პოტენციურად თავდასხმის ანგარიში იბლოკება. ამ მიდგომის მთავარი პრობლემა ის არის, რომ წარმოიქმნება სიტუაციები, როდესაც ერთი ან მეტი თანამშრომლის ანგარიშები შეიძლება დაიბლოკოს უხეში ძალის შეტევის გამო, რომელთანაც მათ არაფერი აქვთ გასაკეთებელი, და შედეგად თანამშრომლების მუშაობის შეფერხებამ შეიძლება გამოიწვიოს დიდი ზარალი. კომპანია. ამიტომ უმჯობესია არ გამოიყენოთ უხეში ძალისგან დაცვის ეს ვარიანტი.

უხეში ძალისგან თავის დასაცავად, სპეციალური ინსტრუმენტი სახელწოდებით DoSFilter ბევრად უკეთესია, რომელიც ჩაშენებულია Zimbra OSE-ში და შეუძლია ავტომატურად შეწყვიტოს კავშირი Zimbra OSE-თან HTTP-ის საშუალებით. სხვა სიტყვებით რომ ვთქვათ, DoSFilter-ის ოპერაციული პრინციპი მსგავსია PostScreen-ის მუშაობის პრინციპის, მხოლოდ ის გამოიყენება სხვა პროტოკოლისთვის. თავდაპირველად შექმნილია იმ მოქმედებების რაოდენობის შესაზღუდად, რომელსაც შეუძლია შეასრულოს ერთი მომხმარებელი, DoSFilter-ს ასევე შეუძლია უზრუნველყოს უხეში ძალის დაცვა. მისი მთავარი განსხვავება Zimbra-ში ჩაშენებული ხელსაწყოსგან არის ის, რომ გარკვეული რაოდენობის წარუმატებელი მცდელობების შემდეგ, ის არ ბლოკავს თავად მომხმარებელს, არამედ IP მისამართს, საიდანაც ხდება მრავალჯერადი მცდელობა, რომ შეხვიდეთ კონკრეტულ ანგარიშში. ამის წყალობით, სისტემის ადმინისტრატორს შეუძლია არა მხოლოდ დაიცვას უხეში ძალისგან, არამედ თავიდან აიცილოს კომპანიის თანამშრომლების დაბლოკვა, უბრალოდ დაამატა თავისი კომპანიის შიდა ქსელი სანდო IP მისამართებისა და ქვექსელების სიაში.

DoSFilter-ის დიდი უპირატესობა ის არის, რომ გარდა კონკრეტულ ანგარიშში შესვლის მრავალრიცხოვანი მცდელობისა, ამ ხელსაწყოს გამოყენებით შეგიძლიათ ავტომატურად დაბლოკოთ ის თავდამსხმელები, რომლებიც ფლობდნენ თანამშრომლის ავთენტიფიკაციის მონაცემებს, შემდეგ კი წარმატებით შევიდნენ მის ანგარიშში და დაიწყეს ასობით მოთხოვნის გაგზავნა. სერვერზე.

თქვენ შეგიძლიათ დააკონფიგურიროთ DoSFilter შემდეგი კონსოლის ბრძანებების გამოყენებით:

• zimbraHttpDosFilterMaxRequestsPerSec — ამ ბრძანების გამოყენებით შეგიძლიათ დააყენოთ კავშირების მაქსიმალური რაოდენობა ერთი მომხმარებლისთვის. ნაგულისხმევად, ეს მნიშვნელობა არის 30 კავშირი.
• zimbraHttpDosFilterDelayMillis - ამ ბრძანების გამოყენებით შეგიძლიათ დააყენოთ შეფერხება მილიწამებში კავშირებისთვის, რომლებიც გადააჭარბებს წინა ბრძანებით მითითებულ ლიმიტს. მთელი მნიშვნელობების გარდა, ადმინისტრატორს შეუძლია მიუთითოს 0 ისე, რომ საერთოდ არ იყოს შეფერხება, ასევე -1 ისე, რომ ყველა კავშირი, რომელიც აღემატება მითითებულ ლიმიტს, უბრალოდ შეწყდეს. ნაგულისხმევი მნიშვნელობა არის -1.
• zimbraHttpThrottleSafeIPs — ამ ბრძანების გამოყენებით ადმინისტრატორს შეუძლია მიუთითოს სანდო IP მისამართები და ქვექსელები, რომლებიც არ დაექვემდებარება ზემოთ ჩამოთვლილ შეზღუდვებს. გაითვალისწინეთ, რომ ამ ბრძანების სინტაქსი შეიძლება განსხვავდებოდეს სასურველი შედეგის მიხედვით. ასე, მაგალითად, ბრძანების შეყვანით zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1, თქვენ მთლიანად გადაწერთ მთელ სიას და დატოვებთ მასში მხოლოდ ერთ IP მისამართს. თუ შეიყვანთ ბრძანებას zmprov mcf +zimbraHttpThrottleSafeIPs 127.0.0.1, თქვენს მიერ შეყვანილი IP მისამართი დაემატება თეთრ სიას. ანალოგიურად, გამოკლების ნიშნის გამოყენებით, შეგიძლიათ ამოიღოთ ნებისმიერი IP დაშვებული სიიდან.

გთხოვთ გაითვალისწინოთ, რომ DoSFilter-მა შეიძლება შექმნას მთელი რიგი პრობლემები Zextras Suite Pro გაფართოებების გამოყენებისას. მათი თავიდან ასაცილებლად, ჩვენ გირჩევთ გაზარდოთ ერთდროული კავშირების რაოდენობა 30-დან 100-მდე ბრძანების გამოყენებით. zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100. გარდა ამისა, ჩვენ გირჩევთ დაამატოთ საწარმოს შიდა ქსელი დაშვებულთა სიაში. ეს შეიძლება გაკეთდეს ბრძანების გამოყენებით zmprov mcf +zimbraHttpThrottleSafeIPs 192.168.0.0/24. DoSFilter-ში რაიმე ცვლილების შეტანის შემდეგ, დარწმუნდით, რომ გადატვირთეთ თქვენი ფოსტის სერვერი ბრძანების გამოყენებით zmmailboxdctl გადატვირთვა.

DoSFilter-ის მთავარი მინუსი არის ის, რომ ის მუშაობს აპლიკაციის დონეზე და, შესაბამისად, შეუძლია შეზღუდოს თავდამსხმელების შესაძლებლობა განახორციელონ სხვადასხვა მოქმედებები სერვერზე, ჩრდილოეთით დაკავშირების შესაძლებლობის შეზღუდვის გარეშე. ამის გამო, სერვერზე გაგზავნილი მოთხოვნები ავტორიზაციის ან წერილების გაგზავნისთვის, თუმცა ისინი აშკარად ვერ მოხერხდება, მაინც წარმოადგენს ძველ კარგ DoS შეტევას, რომლის შეჩერება შეუძლებელია ასეთ მაღალ დონეზე.

იმისათვის, რომ სრულად დაიცვან თქვენი კორპორატიული სერვერი Zimbra OSE-ით, შეგიძლიათ გამოიყენოთ ისეთი გადაწყვეტა, როგორიცაა Fail2ban, რომელიც არის ჩარჩო, რომელსაც შეუძლია მუდმივად აკონტროლოს საინფორმაციო სისტემის ჟურნალები განმეორებითი ქმედებებისთვის და დაბლოკოს დამრღვევი ფაირვოლ პარამეტრების შეცვლით. ასეთ დაბალ დონეზე ბლოკირება საშუალებას გაძლევთ გამორთოთ თავდამსხმელები სერვერთან IP კავშირის ეტაპზე. ამრიგად, Fail2Ban-ს შეუძლია შესანიშნავად შეავსოს DoSFilter-ის გამოყენებით აშენებული დაცვა. მოდით გავარკვიოთ, თუ როგორ შეგიძლიათ დააკავშიროთ Fail2Ban Zimbra OSE-თან და ამით გაზარდოთ თქვენი საწარმოს IT ინფრასტრუქტურის უსაფრთხოება.

როგორც ნებისმიერი სხვა საწარმოს კლასის აპლიკაცია, Zimbra Collaboration Suite Open-Source Edition ინახავს თავისი მუშაობის დეტალურ ჩანაწერებს. მათი უმეტესობა ინახება საქაღალდეში /opt/zimbra/log/ ფაილების სახით. აქ არის მხოლოდ რამდენიმე მათგანი:

• mailbox.log — გეტის ფოსტის სერვისის ჟურნალები
• audit.log - ავთენტიფიკაციის ჟურნალები
• clamd.log — ანტივირუსული ოპერაციების ჟურნალები
• freshclam.log - ანტივირუსული განახლების ჟურნალი
• convertd.log — დანართის გადამყვანის ჟურნალები
• zimbrastats.csv - სერვერის მუშაობის ჟურნალები

Zimbra ჟურნალები ასევე შეგიძლიათ იხილოთ ფაილში /var/log/zimbra.log, სადაც ინახება პოსტფიქსის და თავად ზიმბრას ჟურნალები.

იმისათვის, რომ დავიცვათ ჩვენი სისტემა უხეში ძალისგან, ჩვენ მოვახდენთ მონიტორინგს საფოსტო ყუთი.ლოგი, აუდიტი.ლოგი и ზიმბრა.ლოგი.

იმისათვის, რომ ყველაფერი იმუშაოს, აუცილებელია, რომ Fail2Ban და iptables დაინსტალირებული იყოს თქვენს სერვერზე Zimbra OSE-ით. თუ იყენებთ Ubuntu-ს, ამის გაკეთება შეგიძლიათ ბრძანებების გამოყენებით dpkg -s fail2ban, თუ იყენებთ CentOS-ს, ამის შემოწმება შეგიძლიათ ბრძანებების გამოყენებით yum სია დაინსტალირებულია fail2ban. თუ თქვენ არ გაქვთ დაინსტალირებული Fail2Ban, მაშინ მისი დაყენება არ იქნება პრობლემა, რადგან ეს პაკეტი ხელმისაწვდომია თითქმის ყველა სტანდარტულ საცავში.

ყველა საჭირო პროგრამული უზრუნველყოფის დაყენების შემდეგ, შეგიძლიათ დაიწყოთ Fail2Ban-ის დაყენება. ამისათვის თქვენ უნდა შექმნათ კონფიგურაციის ფაილი /etc/fail2ban/filter.d/zimbra.conf, რომელშიც ჩვენ დავწერთ რეგულარულ გამონათქვამებს Zimbra OSE ჟურნალებისთვის, რომლებიც ემთხვევა არასწორი შესვლის მცდელობებს და გამოიწვევს Fail2Ban მექანიზმებს. აქ არის zimbra.conf-ის შიგთავსის მაგალითი, რეგულარული გამონათქვამების ნაკრებით, რომლებიც შეესაბამება სხვადასხვა შეცდომებს, რომლებსაც უშვებს Zimbra OSE, როდესაც ავტორიზაციის მცდელობა ვერ ხერხდება:

# Fail2Ban configuration file
 
[Definition]
failregex = [ip=<HOST>;] account - authentication failed for .* (no such account)$
                        [ip=<HOST>;] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$
                        [oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$
                        WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$

ignoreregex =

მას შემდეგ, რაც Zimbra OSE-ის რეგულარული გამონათქვამები შედგენილია, დროა დავიწყოთ თავად Fail2ban-ის კონფიგურაციის რედაქტირება. ამ პროგრამის პარამეტრები განთავსებულია ფაილში /etc/fail2ban/jail.conf. ყოველ შემთხვევაში, მოდით გავაკეთოთ მისი სარეზერვო ასლი ბრძანების გამოყენებით cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak. ამის შემდეგ, მოდით მივიყვანოთ ეს ფაილი დაახლოებით შემდეგ ფორმაში:

# Fail2Ban configuration file
 
[DEFAULT]
ignoreip = 192.168.0.1/24
bantime = 600
findtime = 600
maxretry = 5
backend = auto
 
[ssh-iptables]
enabled = false
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=admin@company.ru, sender=fail2ban@company.ru]
logpath = /var/log/messages
maxretry = 5
 
[sasl-iptables]
enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, dest=support@company.ru]
logpath = /var/log/zimbra.log
 
[ssh-tcpwrapper]
enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=support@ company.ru]
ignoreregex = for myuser from
logpath = /var/log/messages
 
[zimbra-account]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-account]
sendmail[name=zimbra-account, dest=support@company.ru ]
logpath = /opt/zimbra/log/mailbox.log
bantime = 600
maxretry = 5
 
[zimbra-audit]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-audit]
sendmail[name=Zimbra-audit, dest=support@company.ru]
logpath = /opt/zimbra/log/audit.log
bantime = 600
maxretry = 5
 
[zimbra-recipient]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-recipient]
sendmail[name=Zimbra-recipient, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = 172800
maxretry = 5
 
[postfix]
enabled = true
filter = postfix
action = iptables-multiport[name=postfix, port=smtp, protocol=tcp]
sendmail-buffered[name=Postfix, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = -1
maxretry = 5

მიუხედავად იმისა, რომ ეს მაგალითი საკმაოდ ზოგადია, მაინც ღირს ზოგიერთი პარამეტრის ახსნა, რომელთა შეცვლაც შეიძლება დაგჭირდეთ Fail2Ban-ის დაყენებისას:

• იგნორირება — ამ პარამეტრის გამოყენებით შეგიძლიათ მიუთითოთ კონკრეტული ip ან ქვექსელი, საიდანაც Fail2Ban არ უნდა შეამოწმოს მისამართები. როგორც წესი, იგნორირებულის სიას ემატება საწარმოს შიდა ქსელი და სხვა სანდო მისამართები.
• ბანტაიმი — დრო, რომლისთვისაც დამნაშავის აკრძალვა მოხდება. იზომება წამებში. მნიშვნელობა -1 ნიშნავს მუდმივ აკრძალვას.
• მაქსრეტრი — მაქსიმუმ რამდენჯერაც შეიძლება ერთი IP მისამართის სერვერზე წვდომის მცდელობა.
• Sendmail — პარამეტრი, რომელიც საშუალებას გაძლევთ ავტომატურად გააგზავნოთ ელ.ფოსტის შეტყობინებები, როდესაც Fail2Ban ამოქმედდება.
• იპოვე დრო — პარამეტრი, რომელიც საშუალებას გაძლევთ დააყენოთ დროის ინტერვალი, რომლის შემდეგაც IP მისამართს შეუძლია კვლავ სცადო სერვერზე წვდომა წარუმატებელი მცდელობების მაქსიმალური რაოდენობის ამოწურვის შემდეგ (maxretry პარამეტრი)

ფაილის Fail2Ban პარამეტრებით შენახვის შემდეგ, რჩება მხოლოდ ამ პროგრამის გადატვირთვა ბრძანების გამოყენებით სერვისის fail2ban გადატვირთვა. გადატვირთვის შემდეგ, ძირითადი Zimbra ჟურნალები დაიწყება მუდმივი მონიტორინგი რეგულარულ გამონათქვამებთან შესაბამისობისთვის. ამის წყალობით, ადმინისტრატორს შეეძლება პრაქტიკულად აღმოფხვრას თავდამსხმელის შეღწევის შესაძლებლობა არა მხოლოდ Zimbra Collaboration Suite Open-Source Edition საფოსტო ყუთებში, არამედ დაიცვას ყველა სერვისი, რომელიც მუშაობს Zimbra OSE-ში და ასევე იცოდეს არაავტორიზებული წვდომის მოპოვების მცდელობის შესახებ. .

Zextras Suite-თან დაკავშირებული ყველა კითხვისთვის შეგიძლიათ დაუკავშირდეთ Zextras-ის წარმომადგენელს ეკატერინა ტრიანდაფილიდს ელფოსტით katerina@zextras.com

წყარო: www.habr.com