日記は 6-bit.com に移行しました。

1. sudo vim /etc/php.ini で下記を追加する。

   date.timezone = Asia/Tokyo

logを確認していなかったことでサーバーに何が起きていたかを把握できていなかったことを反省し、まずはlogwatchをインストールした。

logwatchのインストール手順は ここ にある通り。

インストール後に/usr/sbin/logwatch で実行しとりあえずログをまとめさせてみる。ログによればhinet.netが攻撃元だった。ちなみに台湾のispでググってみると同様にhinet.netから攻撃を受けている人がいた。

固定アドレスのようなので sudo vim /etc/sysconfig/iptables でファイルの前の方に

-A INPUT -s 211.20.112.146 -j DROP

を追加しアクセス全部を遮断する。sudo iptables -L でルールを確認し、sudo service iptables restart でiptablesを再起動する。

基本的には ここ の通り。

1. sudo vim /etc/postfix/main.cf で下記を追加する。

   # 基本設定。
   myhostname = (メールサーバー名)
   mydomain = (独自ドメイン名)
   myorigin = $myhostname
   inet_interfaces = $myhostname, localhost
   mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
   mynetworks_style = host
   disable_vrfy_command = yes
   smtpd_helo_required = yes
   smtpd_client_restrictions = permit_mynetworks, reject_unknown_client, permit
   smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination
   smtpd_sender_restrictions = reject_unknown_sender_domain
   unknown_local_recipient_reject_code = 550
   

2. sudo postfix check で書式をチェックする。
3. sudo postfix reload

しばらく放っておいて久々にログインしてプロセスを確認したら何度killしても復活するsshプロセスがあったのでログを参照するとsshにbrute force攻撃が来ていた。

以前denyhostsを使ったので今回は fail2banで遊ぶ | 世迷言 を参考にfail2banを試してみた。

1. sudo yum install fail2ban
2. sudo vim /etc/fail2ban/jail.conf で[ssh-iptables][vsftpd-iptables][apache-badbots]を有効に設定する。
3. sudo service fail2ban start

プロセスとログを確認すると確かに弾くようになった。

いいんだけど今度はメモリの消費量が気になった。 How-to reduce fail2ban memory usage | Fabians Website でスタックサイズを変更すれば消費量を減らせるらしい。でも元々512 mega bytesしかないし。。。

なので Firewalling SSH brute force attacks. << Max Spevack's Blog を参考にiptablesで弾くようにした。

1. sudo iptables -L で現在の設定を確認する。
2. sudo /etc/init.d/iptables stop で一旦止める。
3. sudo iptables -P INPUT DROP
4. sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
5. sudo iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH
6. sudo iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j DROP
7. sudo iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
8. sudo iptables -L で設定を確認する。
9. sudo /etc/init.d/iptables save で設定を保存する。
10. sudo service iptables restart で再開する。

iptablesの使い方に自信が無い。

1. sudo yum -y install bind
2. sudo cp /etc/named.conf /etc/named.conf.origin
3. sudo vim /etc/named.conf で編集する。
4. sudo vim /var/named
5. sudo vim /etc/hosts
6. sudo vim /etc/resolv.conf