Alors, je ne fais des stats régulières, mais j'ai déjà eu plusieurs centaines d'IP bloquées. Donc, il y en a qui essayent régulièrement. Et j'ai même constaté (encore une fois, ponctuellement) que les IP qui insistaient étaient celles qui tentaient un bruteforce des mots de passes, alors que celles qui ne passent qu'une fois essayent un user/password générique (d'ailleurs, tu es obligé de réutiliser des IP si tu veux faire du bruteforce (même en réduisant les possibilités)).
De ce que j'ai vu dans mes logs, tu as des stratégies assez patientes avec des attentes de plusieurs jours entre des salves d'attaques.
Ensuite, ça sert aussi de honeypot, s'ils tentent un bruteforce sur ssh et sont bloqués, ils ne pourront pas tenter sur un autre service. Et ce que j'ai constaté, c'est qu'ils ont tendance à d'abord essayer ssh avant d'essayer un service web qui leur donnera moins d'accès.
C'est la stratégie que je voudrais mettre en place, mais bien plus agressive puisqu'au premier paquet que tu envoie sur le port 22 sans être autorisé t'es grillé sur tout le serveur.
Je ne pense pas que fail2ban soit le graal de la sécurité mais ça fait une couche supplémentaire.
J'ai beaucoup plus confiance en mon serveur ssh qu'en ce que fera fail2ban. Pour casser l'une de mes clef privée, il faut en vouloir.
Avantage aussi, ça évite de pourrir les logs avec pleins d'authentifications inutiles.
Oui mais du coup moi j'avais 1/3 de mes tentatives qui étaient uniques, fail2ban ne peut rien contre ça.
C'est justement quand j'ai vu ça que j'ai décidé de passer à une liste autorisée plutôt qu'une liste d'exclusion, ça colle bien plus au besoin.
[^] # Re: Fail2ban
Posté par barmic 🦦 . En réponse au journal fail2ban : mutualiser ma blacklist entre mes serveurs. Évalué à 4.
De ce que j'ai vu dans mes logs, tu as des stratégies assez patientes avec des attentes de plusieurs jours entre des salves d'attaques.
C'est la stratégie que je voudrais mettre en place, mais bien plus agressive puisqu'au premier paquet que tu envoie sur le port 22 sans être autorisé t'es grillé sur tout le serveur.
J'ai beaucoup plus confiance en mon serveur ssh qu'en ce que fera fail2ban. Pour casser l'une de mes clef privée, il faut en vouloir.
Oui mais du coup moi j'avais 1/3 de mes tentatives qui étaient uniques, fail2ban ne peut rien contre ça.
C'est justement quand j'ai vu ça que j'ai décidé de passer à une liste autorisée plutôt qu'une liste d'exclusion, ça colle bien plus au besoin.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll