HOWTO Protect SSHD with Swatch(如何使用swatch来保护你的sshd之实现步骤)

caigao

我的解决办法是使用swatch和iptables结合.

到网上找一找swatch有很多相关文章.

注意,安装swatch时需要很多类如
Time::HiRes
Date::Calc
Date::Format
File::Tail
Date:arse
之类的东东,

这些都是Perl的可选模块,请用以下方法安装(有些模块在yum里面找不到)
perl -MCPAN -e "shell"
install Some::Module

这些必要的模块安装好了以后再到

rpm.phone.net上找与你的OS对应的swatch安装程序(RPM格式)

安装时加-nodeps参数,

安装好以后再进行设置,设置中发现有人恶意登陆还可以给自己发邮件呢.

我现在的设置是当用户通过ssh登陆一次不成功就立即添加到防火墙,所以以后自己登陆时要小心.!

以下是我的设置:

1. 
   
2. 
   
3. # Global swatch filter file
   
4. 
   
5. # To ignore a IP-range
   
6. # ignore /216\.239\.37\./
   
7. 
   
8. # Invalid SSH Login Attempts
   
9. watchfor /(: [iI]nvalid [uU]ser )(.*)( from ::ffff:)(.*)$/
   
10.         throttle threshold=3,delay=0:1:0,key=$4
    
11.         mail addresses=xxx\@vip.sina.com,subject="SSH:\ Invalid\ User\ Rule1\ $4"
    
12.         exec "/sbin/iptables -A swatch_rejects -s $4 -j DROP"
    
13. 
    
14. # Failed SSH Login Attempts
    
15. watchfor /(: [fF]ailed password for )(.*)( from ::ffff:)(.*)( port )(.*)$/
    
16.         throttle threshold=3,delay=0:1:0,key=$4
    
17.         mail addresses=xxxx\@vip.sina.com,subject="SSH:\ Invalid\ User\ Rule2\ $4"
    
18.         exec "/sbin/iptables -A swatch_rejects -s $4 -j DROP"
    
19. 
    
20. # Invalid SSH Login Attempts. Another one - just formed differently
    
21. # watchfor /([aA]uthentication [fF]ailure; logname)(.*)(rhost=)(\d+\.\d+\.\d+\.\d+)(.*)$/
    
22. #        throttle threshold=3,delay=0:1:0,key=$4
    
23. #        mail addresses=xxxx\@vip.sina.com,subject="SSH:\ Invalid\ User\ Rule3\ $4"
    
24. #        exec "/sbin/iptables -A swatch_rejects -s $4 -j DROP"
    
25. 
    

复制代码

然后在/etc/rc.d/rc.sysinit中添加
# /usr/bin/swatch --tail-file=/var/log/messages --tail-args='--follow=name --lines=1' --config-file=/etc/swatch/ssh-swatch.conf --pid-file=/var/run/swatch.pid --daemon
或者使用下面的服务启动:

1. 
   
2. #!/bin/bash
   
3. #
   
4. # swatch           This shell script enables the automatic use of YUM
   
5. #
   
6. # Author:       Seth Vidal <skvidal@phy.duke.edu>
   
7. #
   
8. # chkconfig:    2345 11 91
   
9. #
   
10. # description:  Enable daily run of yum, a program updater.
    
11. # processname:  swatch
    
12. # config: /etc/swatch/ssh-swatch.conf
    
13. 
    
14. pid=`/bin/ps -e -o cmd,pid | /bin/grep ^swatch | /bin/awk '{print $2}'`
    
15. 
    
16. case "$1" in
    
17. 'start')
    
18. # start the swatch process
    
19. 
    
20. if [ "$pid" != "" ];
    
21. then
    
22. echo 'Swatch System is already initialized.'
    
23. exit 0
    
24. fi
    
25. if [ -f /usr/bin/swatch -a -f /etc/swatch/ssh-swatch.conf ];
    
26. then /usr/bin/swatch --config-file=/etc/swatch/ssh-swatch.conf --tail-file=/var/log/messages --tail-args='--follow=name --lines=1' --pid-file=/var/run/swatch.pid --daemon &
    
27. exit
    
28. fi
    
29. echo 'Swatch System startup complete.' ;;
    
30. 'stop')
    
31. 
    
32. #stop all swatch processes
    
33. if [ "$pid" != "" ];
    
34. then kill -TERM $pid
    
35. ##/usr/bin/killall tail
    
36. echo 'Swatch System shutdown complete.'
    
37. else
    
38. echo 'No Swatch System initialized.'
    
39. fi ;;
    
40. *)
    
41. echo "Usage: /etc/init.d/swatch { start | stop }" ;;
    
42. esac
    
43. 
    

复制代码

你就大功告成啦............................



参考网址:
http://gentoo-wiki.com/HOWTO_Protect_SSHD_with_Swatch

http://www.trustix.org/wiki/index.php/Swatch



预祝你的LINUX愉快之旅!!!

caigao

/etc/log.d/logwatch.conf中的Mailto:

改成自己的外网邮箱,就可以每天收到系统日志,不用登陆服务器也可以掌握服务器的运行情况啦.

我的机器还运行了jboss,在$JBOSS_HOME/server/all/conf/log4j.xml中更改以下参数

1. 
   
2.    <appender name="SMTP" class="org.apache.log4j.net.SMTPAppender">
   
3.      <errorHandler class="org.jboss.logging.util.OnlyOnceErrorHandler"/>
   
4.      <param name="Threshold" value="ERROR"/>
   
5.      <param name="To" value="xxx@vip.sina.com"/>
   
6.      <param name="From" value="root@xxx.cn"/>
   
7.      <param name="Subject" value="JBoss Sever Errors"/>
   
8.      <param name="SMTPHost" value="localhost"/>
   
9.      <param name="BufferSize" value="10"/>
   
10.      <layout class="org.apache.log4j.PatternLayout">
    
11.        <param name="ConversionPattern" value="[%d{ABSOLUTE},%c{1}] %m%n"/>
    
12.      </layout>
    
13.    </appender>
    

复制代码

当JBOSS有错误时也会给自己发邮件啦.

另外在这里发个广告:
我的服务器提供虚拟主机服务,想要服务器空间的请联系,服务器情况如下:

位置:北京
操作系统CentOS4.3
运行apache+jboss4.0.3+ejb3+jsf+mysql4

不考虑运行其他任何框架及技术,合作者的应用必需是成熟的,无错的.

合作的前一个月如果出现10次错误则中止使用.

可能有不合理之处,有意者请与我联系:

MSN:caigao at hotmail dot com
maiL: yicry at 21cn dot com

晨想

不错，谢谢！

我一直懒得去想 swatch 的那些条件怎么写。现在有现成的抄了。。。

PS. 你说的 EJB3，是指标准吧，具体的 App Server 还是 JBoss。