# /usr/bin/swatch -c /etc/swatch/swatchrc -t /var/log/messages

*** swatch version 3.1 (pid:4811) started at 2005年 5月 6日 金曜日 23:32:22 JST

May 6 23:32:37 server proftpd[4815]: server.aconus.com (192.168.1.xx[192.168.1.xx]) - PAM(oyaji): Authentication failure.
[Ctrl]+[c]
Caught a SIGINT -- sending a TERM signal to 4812

1. 設定ファイルに追加パターンの作成
   
   まずは、実際にFTPでログインして認証に失敗し、/var/log/messagesに出力されたエラーメッセージを調査する。そこからそのメッセージ固有のパターンと宛先アドレスを抽出できるよう、正規表現を考える。
   
   今回のパターンは以下のとおりで、ログイン失敗は後半の「Authentication failure」だけでがよいが、別途作成する管理スクリプトでアクセス元をベースにiptablesで遮断したいので、全般でアクセス元のIPアドレスを抽出している。(本来は、検出メッセージを引数としてコマンドに渡せるはずなので、後半の文字列だけでよいはずであるが、どうしてもうまく渡せないので予めSwatch側で検出してパラメータ指定で渡すことにした。)。元のメッセージは上記の「Swatchの動作テスト」のところにある3行目のメッセージで、[192.168.1.xx]のところでアドレス検出をする例である。「[ ] . 」は「\」で特殊記号処理し、(\d+\.\d+\.\d+\.\d+)の部分で、4個の複数桁「\d+」の「.」で区切られた数字を検出し、「.*」は改行を除く任意の連続した文字列を表し、「Authentication failure」はログイン失敗を識別する文字列そのままである。
   
   
   /\[(\d+\.\d+\.\d+\.\d+)\].*Authentication failure/
   
   
2. 実際の設定内容
   
   今回のアクションは、上記パターンを検出したらおやじ宛てにメールを送信し同時に(\d+.\d+.\d+.\d+)にマッチしたアクセス元アドレスを引数として、/usr/local/bin/hack/hacker.cgiが起動する。hacker.cgiでは、ip毎の起動カウンタを持ち一定回数以上エラーしたらiptablesでロックするようにした。
   
   
   watchfor /\{(\d+\.\d+\.\d+\.\d+)\].*Authentication failure/
   echo
   mail=oyaji\@mail.aconus.com,subject="FTP Login failure"
   exec "/usr/local/bin/hack/hacker.cgi 1ドル"
   
   ・echo: Swatchのログファイルに書き出すための設定。
   ・mail=oyaji\@mail.aconus.com,subject="FTP Login failure":
   おやじ宛に、FTP Login failure というタイトルでメール送信。
   ・exec "/usr/local/bin/hack/hacker.cgi 1ドル":
   1ドルはパターンマッチでマッチした最初の変数(\d+\.\d+\.\d+\.\d+)で、これを引数として/usr/local/bin/hack/hacker.cgiを起動。
   
   
3. 管理スクリプト(hacker.cgi)
   
   今回作成したものはかなり手抜きで、こちらのような簡単なもの。上記で指定したパスにhacker.cgiという名前(/usr/local/bin/hack/hacker.cgi)で設置する。
   
   
   パラメータ 概 要
   $dir = '/usr/local/bin/hack/' スクリプトを置いたディレクトリ。この配下に不正アクセスIPアドレスのログ(IPアドレス.cnt)が置かれる。
   $limit = 2; 同一アドレスからのエラー許容回数。
   $iptables="/usr/sbin/iptables" iptablesのパス。デストリで異なる。
   $chain="HACKER" iptablesでダイナミックに制御するチェーンの名称。
   
   ・一旦ロックすると、ログを捨ててiptablesを初期化するか個別解除するまでアクセスできないので動的IPで被害者が出るかもしれない。
   解除は、設定と全く同じでパラメータが「-A」から「-D」になるだけ。
   /usr/sbin/iptables -D HACKER -p tcp --dport 21 -s (IPアドレス) -j DROP
   ・システムを再起動するとiptablesの設定は消えてしまうが、ログカウンタがあるため次回アクセスで失敗すれば再度ロックされる。
   
   
4. iptables用スクリプトの修正
   
   おやじは、こちらにあるようなスクリプトでiptablesを動かしているので、これに上記のhacker.cgiで制御するダイナミックなHACKERとういチェーンを追加し、管理を容易にした。追加したのは下記の2行だけで、HACKERというチェーンを新規に定義し、入力されるTCPパケットに関して、まずはこのチェーンで評価するようにしただけです。従って、このチェーンに特定のソースアドレスからのFTPポート(21番)へのアクセスを遮断するようにhacker.cgiで書いてあげれば、二度とFTPサーバにはアクセスできなくなる。もっと強行にするなら、プロトコルやポート指定なしでソースアドレスだけで遮断するようにすれば、全くアクセスできなくすることもできる。
   
   
   #!/bin/sh
   
   ### IPアドレス、ネットワークアドレスの定義 ###
   # サーバ機のアドレス #
   MYHOST='192.168.1.100'
   # 家庭内のアドレス(192.168.0.0/24と1.0/24を合わせて指定)#
   HOME='192.168.0.0/23'
   # NTPサーバのアドレス #
   # NTP1: xxx.xxx.xxx.xxx -- プロバイダ
   # NTP2: 210.173.160.57 -- MFEED(ntp2.jst.mfeed.ad.jp)
   NTP1='xxx.xxx.xxx.xxx'
   NTP2='210.173.160.57'
   
   # ip_conntrack_ftpのロード #
   modprobe ip_conntrack_ftp
   
   ### iptablesのコマンドパスの定義 ###
   IPTABLES='/sbin/iptables'
   
   ### IPフォワードの停止 ###
   echo 0 > /proc/sys/net/ipv4/ip_forward
   
   ### iptablesのチェーンの初期化 ###
   $IPTABLES -F
   
   ### 暗黙のdeny(デフォルトで拒否)とするルールの設定 ###
   $IPTABLES -P INPUT DROP
   $IPTABLES -P FORWARD DROP
   $IPTABLES -P OUTPUT DROP
   
   ### 新規にHACKERというチェーンを追加
   $IPTABLES -N HACKER
   
   ### ループバックアドレスに関するアクセスを全て許可 ###
   $IPTABLES -A INPUT -i lo -j ACCEPT
   $IPTABLES -A OUTPUT -o lo -j ACCEPT
   
   ### 入ってくるTCPパケットは全てに先立ちHACKERチェーンで評価
   $IPTABLES -A INPUT -p tcp -j HACKER
   
   ### 家庭内からのDNS問い合わせを許可 ###
   $IPTABLES -A INPUT -p udp -s $HOME --dport 53 -j ACCEPT
   $IPTABLES -A OUTPUT -p udp -d $HOME --sport 53 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 53 -j ACCEPT
   ### DNSサーバからの外部DNS問い合わせを許可 ###
   $IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT
   $IPTABLES -A INPUT -p udp --sport 53 -j ACCEPT
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 53 -j ACCEPT
   
   ### 家庭内からのNTP問い合わせを許可 ###
   $IPTABLES -A INPUT -p udp -s $HOME --dport 123 -j ACCEPT
   $IPTABLES -A OUTPUT -p udp -o $HOME --sport 123 -j ACCEPT
   ### NTPサーバからの外部NTP問い合わせを許可 ###
   $IPTABLES -A OUTPUT -d $NTP1 -p udp --dport 123 -j ACCEPT
   $IPTABLES -A INPUT -s $NTP1 -p udp --sport 123 -j ACCEPT
   $IPTABLES -A OUTPUT -d $NTP2 -p udp --dport 123 --sport 123 -j ACCEPT
   $IPTABLES -A INPUT -s $NTP2 -p udp --dport 123 --sport 123 -j ACCEPT
   
   ### 家庭内でのファイル共有(NetBIOS)を許可 ###
   $IPTABLES -A INPUT -p udp -s $HOME --dport 137:138 -j ACCEPT
   $IPTABLES -A OUTPUT -p udp -d $HOME --sport 137:138 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 139 -j ACCEPT
   
   ### 家庭内からのSWAT(SWAT:901)アクセスを許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 901 -j ACCEPT
   
   ### 家庭内からのProxyアクセス(PROXY:8080)を許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 8080 -j ACCEPT
   
   ### 家庭内でのSSH(22)の使用を許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 22 -j ACCEPT
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW -d $HOME --dport 22 -j ACCEPT
   
   ### WWWサーバへのアクセス(HTTP:80,HTTPS:443)を許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 443 -j ACCEPT
   
   ### 外部WWWサーバへのアクセス(HTTP:80,HTTPS:443)を許可 ###
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 443 -j ACCEPT
   
   ### FTPサーバへのアクセス(Active/Passive)を許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 21 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 4000:4029 -j ACCEPT
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --sport 20 -j ACCEPT
   
   ### 外部FTPサーバへのアクセス(Active/Passive)を許可 ###
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 21 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --sport 20 -j ACCEPT
   
   ### メールサーバへのアクセス(SMTP:25/465)を許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 25 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 465 -j ACCEPT
   
   ### 外部メールサーバへのアクセス(SMTP:25,POP3:110)を許可 ###
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 25 -j ACCEPT
   $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 110 -j ACCEPT
   
   ### メールサーバへのアクセス(POP3:110/995,IMAP:143/993)を許可 ###
   ### 非SSL系は家庭内のみ許可 ###
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 110 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 143 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 993 -j ACCEPT
   $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 995 -j ACCEPT
   
   
   ### Ident(113)を拒否(DROPするとレスポンスが遅くなるのでReject) ###
   $IPTABLES -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset
   
   ### PINGに対する処理 ###
   $IPTABLES -A INPUT -p icmp --icmp-type 8 -j ACCEPT
   $IPTABLES -A OUTPUT -p icmp --icmp-type 0 -j ACCEPT
   $IPTABLES -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
   $IPTABLES -A INPUT -p icmp --icmp-type 0 -j ACCEPT
   
   ### セッション確立後のパケット疎通は許可 ###
   $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   $IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   
   ### 設定内容の保存 ###
   /etc/rc.d/init.d/iptables save
   
   ### IPフォワードの開始 ###
   echo 1 > /proc/sys/net/ipv4/ip_forward