[Linux] Snort를 활용한 SSH brute attack 탐지

이전 포스팅에 실제 파이썬으로 ssh brute attack 을 해보고 서버의 설정을 통해 차단을 하였다.

 

참고: ssh brute attack 공격

[Linux] SSH Brute Force 공격 파이썬 구현 및 확인 CentOS7

참고: ssh brute attack 보안

 

[Linux] SSH Brute Force 보안 - root 계정 원격 접속 차단 및 포트 변경 (CentOS7)

[Linux] SSH Brute Force 보안 - 계정 잠금 임계치 설정 (Centos7)

 

이번에는 시스템에서의 차단이 아닌 네트워크 상에서 패킷을 감지하고 알림을 주기 위해 snort를 사용하였다.

 

참고: snort 설치 및 실행

[CentOS7] IDS 환경을 위한 Snort 구축 및 테스트

 

/etc/snort/rules/local.rules 에 rule 등록

룰 옵션

content: 페이로드에서 검사할 문자열을 지정한다. text와 binary가 있으며 현재는 text만 사용하였다.

nocase: 페이로드 검사시 대/소문자를 구분하지 않는 옵션

threshold: count 5, seconds 30 이니까 30초 동안 동일한 이벤트가 5번 발생하면 한번의 action을 수행한다라는 의미이다. 60초 동안 10번의 이벤트가 발생하면 총 2번의 action을 수행한다.

track: by_src는 출발지 IP를 기준으로 추적한다는 의미이다.

 

 

snort를 실행한 결과 아래와 같이 alert가 발생하였다.

 

Plus 

추가적으로 iptalbles를 이용하여 해당 패킷을 DROP 하였다.

iptables -A INPUT -s 192.168.0.12 -p TCP --dport 22 -j DROP