झिंब्रा OSE चे क्रूर फोर्स आणि DoS हल्ल्यांपासून संरक्षण करा

Zimbra Collaboration Suite Open-source Edition मध्ये माहिती सुरक्षितता सुनिश्चित करण्यासाठी अनेक शक्तिशाली साधने आहेत. त्यापैकी पोस्टस्क्रीन - बॉटनेटच्या हल्ल्यांपासून मेल सर्व्हरचे संरक्षण करण्यासाठी एक उपाय, क्लॅमएव्ही - एक अँटीव्हायरस जो दुर्भावनापूर्ण प्रोग्रामच्या संसर्गासाठी येणाऱ्या फाइल्स आणि अक्षरे स्कॅन करू शकतो, तसेच स्पॅमअस्सेन - आजच्या सर्वोत्तम स्पॅम फिल्टरपैकी एक. तथापि, ही साधने झिंब्रा OSE चे क्रूर फोर्स हल्ल्यांपासून संरक्षण करण्यास अक्षम आहेत. सर्वात मोहक नाही, परंतु तरीही प्रभावी, ब्रूट-फोर्सिंग पासवर्ड एक विशेष शब्दकोष वापरून केवळ पुढील सर्व परिणामांसह यशस्वी हॅकिंगच्या शक्यतेनेच भरलेले नाही, तर सर्व्हरवर एक महत्त्वपूर्ण भार तयार करणे देखील आहे, जे सर्व प्रक्रिया करते. Zimbra OSE सह सर्व्हर हॅक करण्याचा अयशस्वी प्रयत्न.

तत्वतः, आपण मानक झिंब्रा OSE साधनांचा वापर करून क्रूर शक्तीपासून स्वतःचे संरक्षण करू शकता. पासवर्ड सुरक्षा धोरण सेटिंग्ज तुम्हाला पासवर्ड एंट्रीच्या अयशस्वी प्रयत्नांची संख्या सेट करण्याची परवानगी देतात, त्यानंतर संभाव्य हल्ला केलेले खाते ब्लॉक केले जाते. या दृष्टिकोनातील मुख्य समस्या अशी आहे की अशा परिस्थिती उद्भवतात ज्यात एक किंवा अधिक कर्मचाऱ्यांची खाती एका क्रूर फोर्स हल्ल्यामुळे अवरोधित केली जाऊ शकतात ज्याचा त्यांना काहीही संबंध नाही आणि परिणामी कर्मचाऱ्यांच्या कामातील डाउनटाइममुळे मोठ्या प्रमाणात नुकसान होऊ शकते. कंपनी. म्हणूनच या प्रकारचे ब्रूट फोर्स प्रोटेक्शन न वापरणे चांगले.

ब्रूट फोर्सपासून संरक्षण करण्यासाठी, DoSFilter नावाचे एक विशेष साधन अधिक योग्य आहे, जे Zimbra OSE मध्ये तयार केले आहे आणि HTTP द्वारे Zimbra OSE चे कनेक्शन स्वयंचलितपणे समाप्त करू शकते. दुसऱ्या शब्दांत, DoSFilter चे ऑपरेटिंग तत्त्व पोस्टस्क्रीनच्या ऑपरेटिंग तत्त्वासारखेच आहे, फक्त ते वेगळ्या प्रोटोकॉलसाठी वापरले जाते. मूलतः एक वापरकर्ता करू शकणाऱ्या क्रियांची संख्या मर्यादित करण्यासाठी डिझाइन केलेले, DoSFilter ब्रूट फोर्स संरक्षण देखील प्रदान करू शकते. झिम्ब्रामध्ये तयार केलेल्या टूलमधील त्याचा मुख्य फरक असा आहे की काही अयशस्वी प्रयत्नांनंतर, ते वापरकर्त्याला स्वतः अवरोधित करत नाही, परंतु IP पत्ता ज्यावरून एका विशिष्ट खात्यात लॉग इन करण्यासाठी अनेक प्रयत्न केले जातात. याबद्दल धन्यवाद, सिस्टम प्रशासक केवळ क्रूर फोर्सपासून संरक्षण करू शकत नाही, परंतु विश्वसनीय IP पत्ते आणि सबनेटच्या सूचीमध्ये त्याच्या कंपनीचे अंतर्गत नेटवर्क जोडून कंपनीच्या कर्मचाऱ्यांना अवरोधित करणे देखील टाळू शकतो.

DoSFilter चा मोठा फायदा असा आहे की एखाद्या विशिष्ट खात्यात लॉग इन करण्याच्या असंख्य प्रयत्नांव्यतिरिक्त, या साधनाचा वापर करून तुम्ही त्या हल्लेखोरांना स्वयंचलितपणे अवरोधित करू शकता ज्यांनी एखाद्या कर्मचाऱ्याचा प्रमाणीकरण डेटा ताब्यात घेतला आणि नंतर यशस्वीरित्या त्याच्या खात्यात लॉग इन केले आणि शेकडो विनंत्या पाठवण्यास सुरुवात केली. सर्व्हरला.

तुम्ही खालील कन्सोल आदेश वापरून DoSFilter कॉन्फिगर करू शकता:

• zimbraHttpDosFilterMaxRequestsPerSec — या आदेशाचा वापर करून, तुम्ही एका वापरकर्त्यासाठी अनुमत जोडण्यांची कमाल संख्या सेट करू शकता. डीफॉल्टनुसार हे मूल्य 30 कनेक्शन आहे.
• zimbraHttpDosFilterDelayMillis - या कमांडचा वापर करून, तुम्ही मागील कमांडद्वारे निर्दिष्ट केलेल्या मर्यादेपेक्षा जास्त असलेल्या कनेक्शनसाठी मिलिसेकंदांमध्ये विलंब सेट करू शकता. पूर्णांक मूल्यांव्यतिरिक्त, प्रशासक 0 निर्दिष्ट करू शकतो जेणेकरून अजिबात विलंब होणार नाही, तसेच -1 जेणेकरून निर्दिष्ट मर्यादा ओलांडणारी सर्व कनेक्शन्स फक्त व्यत्यय आणू शकतात. डीफॉल्ट मूल्य -1 आहे.
• zimbraHttpThrottleSafeIPs — या आदेशाचा वापर करून, प्रशासक विश्वसनीय IP पत्ते आणि सबनेट निर्दिष्ट करू शकतो जे वर सूचीबद्ध केलेल्या निर्बंधांच्या अधीन नसतील. लक्षात घ्या की इच्छित परिणामानुसार या आदेशाची वाक्यरचना बदलू शकते. तर, उदाहरणार्थ, कमांड प्रविष्ट करून zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1, तुम्ही संपूर्ण यादी पूर्णपणे अधिलिखित कराल आणि त्यात फक्त एक IP पत्ता सोडाल. आपण आदेश प्रविष्ट केल्यास zmprov mcf +zimbraHttpThrottleSafeIPs 127.0.0.1, तुम्ही प्रविष्ट केलेला IP पत्ता पांढऱ्या सूचीमध्ये जोडला जाईल. त्याचप्रमाणे, वजाबाकीच्या चिन्हाचा वापर करून, तुम्ही अनुमत सूचीमधून कोणताही आयपी काढू शकता.

कृपया लक्षात घ्या की DoSFilter Zextras Suite Pro विस्तार वापरताना अनेक समस्या निर्माण करू शकतात. ते टाळण्यासाठी, आम्ही कमांड वापरून एकाचवेळी कनेक्शनची संख्या 30 वरून 100 पर्यंत वाढविण्याची शिफारस करतो. zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100. याव्यतिरिक्त, आम्ही परवानगी असलेल्यांच्या सूचीमध्ये एंटरप्राइझ अंतर्गत नेटवर्क जोडण्याची शिफारस करतो. हे कमांड वापरून केले जाऊ शकते zmprov mcf +zimbraHttpThrottleSafeIPs 192.168.0.0/24. DoSFilter मध्ये कोणतेही बदल केल्यानंतर, कमांड वापरून तुमचा मेल सर्व्हर रीस्टार्ट करण्याचे सुनिश्चित करा zmmailboxdctl रीस्टार्ट करा.

DoSFilter चा मुख्य गैरसोय असा आहे की ते ऍप्लिकेशन स्तरावर कार्य करते आणि म्हणूनच उत्तरेशी कनेक्ट करण्याची क्षमता मर्यादित न करता, सर्व्हरवर विविध क्रिया करण्यासाठी आक्रमणकर्त्यांची क्षमता मर्यादित करू शकते. यामुळे, प्रमाणीकरणासाठी किंवा पत्रे पाठवण्यासाठी सर्व्हरला पाठवलेल्या विनंत्या, जरी ते स्पष्टपणे अयशस्वी होतील, तरीही त्या चांगल्या जुन्या DoS हल्ल्याचे प्रतिनिधित्व करतील, ज्याला इतक्या उच्च पातळीवर थांबवता येत नाही.

Zimbra OSE सह तुमचा कॉर्पोरेट सर्व्हर पूर्णपणे सुरक्षित करण्यासाठी, तुम्ही Fail2ban सारखे उपाय वापरू शकता, जे एक फ्रेमवर्क आहे जे वारंवार क्रियांसाठी माहिती सिस्टम लॉगचे सतत निरीक्षण करू शकते आणि फायरवॉल सेटिंग्ज बदलून घुसखोरांना ब्लॉक करू शकते. अशा निम्न स्तरावर अवरोधित केल्याने आपल्याला सर्व्हरशी IP कनेक्शनच्या टप्प्यावर आक्रमणकर्त्यांना अक्षम करण्याची अनुमती मिळते. अशा प्रकारे, Fail2Ban DoSFilter वापरून तयार केलेल्या संरक्षणास उत्तम प्रकारे पूरक ठरू शकते. तुम्ही Fail2Ban ला Zimbra OSE शी कसे कनेक्ट करू शकता आणि त्याद्वारे तुमच्या एंटरप्राइझच्या IT इन्फ्रास्ट्रक्चरची सुरक्षा कशी वाढवू शकता ते शोधू या.

इतर कोणत्याही एंटरप्राइझ-क्लास ऍप्लिकेशनप्रमाणे, झिंब्रा कोलॅबोरेशन सूट ओपन-सोर्स एडिशन त्याच्या कामाचे तपशीलवार लॉग ठेवते. त्यापैकी बहुतेक फोल्डरमध्ये संग्रहित आहेत /opt/zimbra/log/ फाइल्सच्या स्वरूपात. त्यापैकी काही येथे आहेत:

• mailbox.log — जेट्टी मेल सर्व्हिस लॉग
• audit.log - प्रमाणीकरण नोंदी
• clamd.log — अँटीव्हायरस ऑपरेशन लॉग
• freshclam.log - अँटीव्हायरस अद्यतन नोंदी
• convertd.log — संलग्नक कनवर्टर लॉग
• zimbrastats.csv - सर्व्हर कामगिरी नोंदी

झिंब्रा लॉग देखील फाइलमध्ये आढळू शकतात /var/log/zimbra.log, जिथे पोस्टफिक्स आणि झिम्ब्राचे लॉग स्वतः ठेवले जातात.

आमच्या सिस्टमला क्रूर फोर्सपासून संरक्षित करण्यासाठी, आम्ही निरीक्षण करू mailbox.log, audit.log и zimbra.log.

सर्वकाही कार्य करण्यासाठी, आपल्या सर्व्हरवर Zimbra OSE सह Fail2Ban आणि iptables स्थापित करणे आवश्यक आहे. जर तुम्ही उबंटू वापरत असाल, तर तुम्ही कमांड वापरून हे करू शकता dpkg -s fail2ban, तुम्ही CentOS वापरत असल्यास, तुम्ही कमांड वापरून हे तपासू शकता yum यादी fail2ban स्थापित केली आहे. जर तुमच्याकडे Fail2Ban इन्स्टॉल नसेल, तर ते इन्स्टॉल करण्यात अडचण येणार नाही, कारण हे पॅकेज जवळपास सर्व स्टँडर्ड रिपॉझिटरीजमध्ये उपलब्ध आहे.

सर्व आवश्यक सॉफ्टवेअर इन्स्टॉल झाल्यावर, तुम्ही Fail2Ban सेट करणे सुरू करू शकता. हे करण्यासाठी तुम्हाला कॉन्फिगरेशन फाइल तयार करावी लागेल /etc/fail2ban/filter.d/zimbra.conf, ज्यामध्ये आम्ही Zimbra OSE लॉगसाठी रेग्युलर एक्सप्रेशन्स लिहू जे चुकीच्या लॉगिन प्रयत्नांशी जुळतील आणि Fail2Ban यंत्रणा ट्रिगर करतील. प्रमाणीकरणाचा प्रयत्न अयशस्वी झाल्यावर Zimbra OSE ने टाकलेल्या विविध त्रुटींशी संबंधित रेग्युलर एक्सप्रेशन्सच्या संचासह zimbra.conf च्या सामग्रीचे उदाहरण येथे आहे:

# Fail2Ban configuration file
 
[Definition]
failregex = [ip=<HOST>;] account - authentication failed for .* (no such account)$
                        [ip=<HOST>;] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$
                        ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$
                        [oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$
                        WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$

ignoreregex =

एकदा Zimbra OSE साठी रेग्युलर एक्स्प्रेशन्स संकलित केल्यावर, Fail2ban चे कॉन्फिगरेशन स्वतःच संपादित करण्याची वेळ आली आहे. या युटिलिटीची सेटिंग्ज फाइलमध्ये स्थित आहेत /etc/fail2ban/jail.conf. फक्त बाबतीत, कमांड वापरून त्याची बॅकअप प्रत बनवू cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak. त्यानंतर, आम्ही ही फाईल अंदाजे खालील फॉर्मवर कमी करू:

# Fail2Ban configuration file
 
[DEFAULT]
ignoreip = 192.168.0.1/24
bantime = 600
findtime = 600
maxretry = 5
backend = auto
 
[ssh-iptables]
enabled = false
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=admin@company.ru, sender=fail2ban@company.ru]
logpath = /var/log/messages
maxretry = 5
 
[sasl-iptables]
enabled = false
filter = sasl
backend = polling
action = iptables[name=sasl, port=smtp, protocol=tcp]
sendmail-whois[name=sasl, dest=support@company.ru]
logpath = /var/log/zimbra.log
 
[ssh-tcpwrapper]
enabled = false
filter = sshd
action = hostsdeny
sendmail-whois[name=SSH, dest=support@ company.ru]
ignoreregex = for myuser from
logpath = /var/log/messages
 
[zimbra-account]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-account]
sendmail[name=zimbra-account, dest=support@company.ru ]
logpath = /opt/zimbra/log/mailbox.log
bantime = 600
maxretry = 5
 
[zimbra-audit]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-audit]
sendmail[name=Zimbra-audit, dest=support@company.ru]
logpath = /opt/zimbra/log/audit.log
bantime = 600
maxretry = 5
 
[zimbra-recipient]
enabled = true
filter = zimbra
action = iptables-allports[name=zimbra-recipient]
sendmail[name=Zimbra-recipient, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = 172800
maxretry = 5
 
[postfix]
enabled = true
filter = postfix
action = iptables-multiport[name=postfix, port=smtp, protocol=tcp]
sendmail-buffered[name=Postfix, dest=support@company.ru]
logpath = /var/log/zimbra.log
bantime = -1
maxretry = 5

जरी हे उदाहरण अगदी सामान्य आहे, तरीही आपण स्वत: Fail2Ban सेट करताना बदलू इच्छित असलेले काही पॅरामीटर्स स्पष्ट करणे योग्य आहे:

• दुर्लक्ष करा — या पॅरामीटरचा वापर करून तुम्ही विशिष्ट ip किंवा सबनेट निर्दिष्ट करू शकता ज्यातून Fail2Ban पत्ते तपासू नये. नियमानुसार, एंटरप्राइझचे अंतर्गत नेटवर्क आणि इतर विश्वसनीय पत्ते दुर्लक्षित केलेल्यांच्या सूचीमध्ये जोडले जातात.
• बॅटाईम - ज्या वेळेसाठी गुन्हेगारावर बंदी घातली जाईल. सेकंदात मोजले. -1 चे मूल्य म्हणजे कायमची बंदी.
• मॅक्सरेट्री — एक IP पत्ता सर्व्हरवर प्रवेश करण्याचा प्रयत्न करू शकेल इतक्या वेळा.
• सेंडमेल — Fail2Ban ट्रिगर झाल्यावर आपोआप ईमेल सूचना पाठवण्याची परवानगी देणारी सेटिंग.
• वेळ शोधा — एक सेटिंग जी तुम्हाला वेळ मध्यांतर सेट करण्याची परवानगी देते ज्यानंतर जास्तीत जास्त अयशस्वी प्रयत्न संपल्यानंतर IP पत्ता सर्व्हरवर पुन्हा प्रवेश करण्याचा प्रयत्न करू शकतो (maxretry पॅरामीटर)

Fail2Ban सेटिंग्जसह फाइल सेव्ह केल्यानंतर, कमांड वापरून ही युटिलिटी रीस्टार्ट करणे बाकी आहे. सेवा fail2ban रीस्टार्ट करा. रीस्टार्ट केल्यानंतर, रेग्युलर एक्स्प्रेशन्सच्या अनुपालनासाठी मुख्य झिंब्रा लॉग्सचे सतत निरीक्षण करणे सुरू होईल. याबद्दल धन्यवाद, प्रशासक केवळ झिंब्रा कोलॅबोरेशन सूट ओपन-सोर्स एडिशन मेलबॉक्समध्ये प्रवेश करणाऱ्या आक्रमणकर्त्याची कोणतीही शक्यता नाहीशी करण्यास सक्षम असेल, परंतु झिंब्रा ओएसईमध्ये चालणाऱ्या सर्व सेवांचे संरक्षण देखील करू शकेल आणि अनधिकृत प्रवेश मिळवण्याच्या कोणत्याही प्रयत्नांची जाणीव ठेवू शकेल. .

झेक्सट्रास सूटशी संबंधित सर्व प्रश्नांसाठी, तुम्ही झेक्सट्रास प्रतिनिधी एकटेरिना ट्रायंडाफिलिडी यांच्याशी katerina@zextras.com या ईमेलवर संपर्क साधू शकता.

स्त्रोत: www.habr.com