DenyHosts 简单使用
DenyHosts 简单使用
零、前言#
DenyHosts是一个Python脚本程序,它会监控并分析服务器(Linux系统)sshd的日志文件(/var/log/secure), 当发现重复的攻击时就会记录IP到指定的/etc/hosts.deny文件中,从而达到自动屏蔽IP的功能,阻止该IP继续攻击我们的服务器。
比如我们在使用云服务器的时候,一开始登陆后就会提示有多少次尝试登陆你服务器的统计,往往这个数很大的时候就说明你的服务器被人关注了:
我们可以使用下面命令(centos7.6):
登陆成功的ip及登陆次数列表
grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
登陆失败的ip及登陆次数列表
grep "Failed password for invalid user" /var/log/secure | awk '{print $13}' | sort | uniq -c | sort -nr | more
一、下载、安装DenyHosts#
[DenyHosts官网](http://denyhosts.sourceforge.net/)
[DenyHosts GitHub页面](https://github.com/denyhosts/denyhosts)
使用DenyHosts可以参考GitHub页面的README.md文件进行安装,当前时间最新的稳定版本是3.0,下载denyhosts-3.0.tar.gz文件,并复制到Linux系统中(比如我将它放在/home目录下)
=>解压:
tar zxvf denyhosts-3.0.tar.gz
=>进入源文件目录:
cd denyhosts-3.0
=>使用root用户权限安装:
=>This will install the DenyHosts modules into python's site-packages directory.
python setup.py install
因为网上很多教程都是安装的2.6版本的,所以安装完这一步之后会在/usr/share/下面找到deny-hosts目录,可是我安装3.0版本后却没有,不过没关系,denyhosts用到的文件在/usr/bin下面都有我们切到usr/bin下操作就可以了(cd /usr/bin)
在此我们需要配置denyhosts.conf文件,进行个性化配置:
还是在一开始的目录下(cd /home/denyhosts-3.0)
=> 将denyhosts.conf文件复制到/etc下(上面的install就会将该文件复制过去,这里如果提示是否覆盖的话就说明已经存在,输入no就可以了)
cp denyhosts.conf /etc
=> 使用vim编辑denyhosts.conf文件(官网里面使用的是nano编辑器)
vim /etc/denyhosts.conf
以下是需要配置的地方:本人服务器环境:centos7.6
############ THESE SETTINGS ARE REQUIRED ############
SECURE_LOG = /var/log/secure # 监控的sshd日志文件,系统不同位置不同
HOSTS_DENY = /etc/hosts.deny # 屏蔽IP的记录文件
PURGE_DENY = 7d # IP被屏蔽后,多久清除屏蔽记录(m-minutes,h-hours,d-days,w-weeks,y-years)
# PURGE_DENY = 设置为空代表永远不清除
PURGE_THRESHOLD = 3 # 某个host最多被清除的次数,如果清除次数超过这个值就不会再被清理了
BLOCK_SERVICE = sshd # 阻止的服务名,默认是sshd,也可以设置FTP、SMTP等
DENY_THRESHOLD_INVALID = 3 # 允许无效用户尝试失败次数(过了这个次数还是失败就加入屏蔽)
DENY_THRESHOLD_VALID = 3 # 有效用户(普通用户)尝试失败次数
DENY_THRESHOLD_ROOT = 3 # root用户尝试失败次数
DENY_THRESHOLD_RESTRICTED = 1 # 设定denyhosts将屏蔽host写入到/etc/hsots.deny文件中
WORK_DIR = /var/lib/denyhosts # denyhosts工作数据目录
HOSTNAME_LOOKUP=YES # 是否做域名反解
LOCK_FILE = /var/lock/subsys/denyhosts # 将DenyHost启动的pid记录到LOCK_FILE中,已确保服务正确启动,防止同时启动多个服务
############ THESE SETTINGS ARE OPTIONAL ############
AGE_RESET_VALID=6h # 普通有效用户登陆失败计数清零时间
AGE_RESET_ROOT=6h # root用户登陆失败计数清零时间
AGE_RESET_RESTRICTED=25d # /etc/hosts.deny文件清除数据时间
AGE_RESET_INVALID=1d # 无效用户登陆失败计数清零时间
######### THESE SETTINGS ARE SPECIFIC TO DAEMON MODE ##########
DAEMON_LOG = /var/log/denyhosts # denyhosts日志默认存放路径
DAEMON_SLEEP = 30s # 当以后台方式运行时,每读一次日志文件的时间间隔
DAEMON_PURGE = 1h # 当以后台方式运行时,清除机制在hosts.deny中终止就条目的时间间隔,这个会影响PURGE_DENY参数
=> 查看与配置IP白名单、黑名单(当hosts.allow和 host.deny相冲突时,以hosts.allow设置为准)
vim /etc/hosts.deny # 黑名单无需手动配置,denyhosts会自动检测添加
vim /etc/hosts.allow # 配置规则:sshd:171.113.244.96:allow, 配置多个:171.113.244.96,158.51.96.58:allow
=> 配置、启动、停止、查看denyhosts服务#
cd /usr/bin # 切换到/usr/bin目录下(因为该目录下有daemon-control,^-)
cp daemon-control-dist daemon-control
=> 编辑适合自己系统环境的daemon-control文件,以下是我个人环境的相关denyhosts文件目录,这里需要自己去核对
vim daemon-control
###############################################
#### Edit these to suit your configuration ####
###############################################
DENYHOSTS_BIN = "/usr/bin/denyhosts.py"
DENYHOSTS_LOCK = "/var/lock/subsys/denyhosts"
DENYHOSTS_CFG = "/etc/denyhosts.conf"
PYTHON_BIN = "/usr/bin/env python"
注意一点:一般centos默认有python2,这里启动denyhosts会报错,我们需要修改下安装的/DenyHosts/report.py包
vim /usr/lib/python2.7/site-packages/DenyHosts/report.py
将# from types import ListType, TupleType 取消注释:from types import ListType, TupleType
=> 修改权限:
chown root daemon-control
chmod 700 daemon-control
启动denyhosts#
daemon-control start
查看denyhosts是否运行#
方法一:daemon-control status
方法二:ps -ef | grep deny
停止denyhosts#
daemon-control stop