O código-fonte do OpenSSH agora inclui uma proteção embutida contra ataques automatizados de força bruta, onde bots tentam adivinhar a senha do usuário por meio da combinação de diferentes padrões. Para bloquear tais ataques, o arquivo de configuração sshd_config ganhou o parâmetro PerSourcePenalties, que permite definir um limiar de bloqueio ativado após muitas tentativas de conexão malsucedidas provenientes de um único endereço IP. Este novo mecanismo de proteção será incluído na próxima versão do OpenSSH e estará habilitado por padrão no OpenBSD 7.6.
Com a proteção ativada, o processo sshd começa a monitorar o status de conclusão dos processos filhotes, identificando situações em que a autenticação falha ou quando o processo foi encerrado abruptamente devido a um erro. Uma alta frequência de falhas na autenticação indica tentativas de força bruta, enquanto um término abrupto pode sinalizar tentativas de exploração de vulnerabilidades no sshd.
Através do parâmetro PerSourcePenalties, é definido um limiar mínimo para eventos anômalos, após o qual o endereço IP com atividade suspeita será bloqueado. Com o parâmetro PerSourceNetBlockSize, também é possível definir uma máscara de sub-rede para bloquear toda a sub-rede à qual pertence o IP problemático.
Para desativar o bloqueio em determinadas sub-redes, foi proposto o parâmetro PerSourcePenaltyExemptList, que pode ser útil em situações que levam a falsos positivos, como quando múltiplos usuários de uma grande rede acessam o servidor SSH com o mesmo IP devido ao uso de um tradutor de endereços ou proxy.
Fonte: opennet.ru
