LinuxでDDOS攻撃をブロックする方法

Linuxユーザー向けのこのガイドでは、サービス拒否攻撃で使用されるIPアドレスを検出してブロックする方法を説明します。

数日前に、LinuxのiptablesでIPアドレスをブロックする方法に関する記事を掲載しました。これは、サービス拒否（またはDOS）攻撃の場合に攻撃者のIPアドレスを検出する方法を示す無料の記事です。

これを行うには、psadと呼ばれる無料のソフトウェアを使用します。 psad iptablesと同期して動作し、iptablesログを監視し、ポートスキャンやその他の疑わしいトラフィックをチェックします。これらは通常、誰かがLinuxサーバーに侵入しようとしている兆候です。

まず、psadをインストールします。 UbuntuやFedoraなどの豪華なパッケージ管理システムを備えたLinuxのフレーバーを実行している場合は、次のコマンドのいずれかを使用して、システムでpsadを取得できるはずです。

＃sudo apt-get install psad
または
＃yum install psad

これがうまくいかない場合は、psadダウンロードページにアクセスして、適切な形式をダウンロードしてください。

私はUbuntuLinuxサーバーを使用しているので、このチュートリアルの残りの部分はUbuntu固有のものになります。ただし、若干の調整を加えることで、他の種類のLinuxでも機能するようになります。 syslog.confを開きます お気に入りのテキストエディタでファイルする：

＃vim /etc/syslog.conf

ファイルの最後に次の行を追加します。

kern.info | / var / lib / psad / psadfifo

次のコマンドを使用して、同じことを実行できます。

＃echo -e'kern.info \ t | /var/lib/psad/psadfifo'>> /etc/syslog.conf

ここで、 sysklogdを再起動します およびklog デーモン：

/etc/init.d/sysklogd restart
/etc/init.d/klogd restart

psadが機能する方法は、疑わしいIPをブロックするようにiptablesを検出して指示することです。これにより、使用するIPがブロックされる場合があります。この問題を解決するには、安全なIPアドレスのリストを含むファイルを作成する必要があります。次のようなファイルを作成します：

＃vim /home/calvin/safeiplist.cfg

ホワイトリストに登録するためにpsadが必要なIPアドレスを入力してください：

127.0.0.0/24
192.168.0.0/24
122.164.34.240

次のようなスクリプトを使用して、必要なルールでiptablesを構成しないでください。 注 このスクリプトは、iptablesのセットアップから以前のすべての設定を削除します。次のスクリプトをコピーしてLinuxサーバーに貼り付け、変数 WORKDIRを置き換えます。 およびSAFEIPLIST セットアップからの正しい設定で。

WORKDIR ="/ home / calvin /"
INTERVAL ="5"
HITCOUNT ="5"
SAFEIPLIST ="safeiplist.cfg"

iptables -A INPUT -m state –state NEW -m最近–set
iptables -A INPUT -m state –state NEW -m最近–update –seconds $ INTERVAL –hitcount $ HITCOUNT -j LOG

スクリプトが行うことは、5秒間に5回以上接続を試行した場合に、IPアドレスをログに記録することです。スクリプトを変更するときに何をしているのかわからない場合は、スクリプトをそのまま使用することをお勧めします。完了したら、実行可能権限を付与して実行します。

＃chmod + x /home/calvin/ipblock.sh

＃/home/calvin/ipblock.sh

psadに戻ります。 psad構成ファイルを開いて編集します。これらは私があなたがすることを提案する変更です。 psadのドキュメントを確認し、その他の変更を加えてください：

EMAIL_ADDRESSES you@yourdomain.com;

マシンのホスト名を設定します：

ホスト名yourdomain.com;

このサーバーにネットワークインターフェースが1つしかない場合は、 HOME_NETを設定します 宛先：

HOME_NET NOT_USED;

また、psadの危険レベルを調整し、無視するポートのセットを定義する必要がある場合もあります。たとえば、psadにudpポート80および8080を無視するように要求するには、次の変更を行います。

IGNORE_PORTS udp / 80、udp / 8080;

ファイルを保存して閉じます。次に、psadを再起動します：

＃/etc/init.d/psad restart

これで準備完了です。 psadのレポートを監視するには、次のコマンドを実行します。

＃psad -S

自動的にクロックされるIPを削除するには、次のコマンドを実行します。

＃psad -F

psadは、非常に用途が広く強力なツールです。それを使用する方法を知っているなら、それはあなたのために不思議に思うかもしれません、しかしあなたが知らなければ、あなたは本当にあなたのコンピュータを台無しにすることができます。したがって、psadは注意して使用してください。