fail2ban muchos intentos por segundo, se puede limitar?

This site is best viewed in a modern browser with JavaScript enabled.

fail2ban muchos intentos por segundo, se puede limitar?

hgmnetwork

Hola, he visto que tenemos un servidor que lo estan atacando desde muchas ips, tenemos el fail2ban activado el problema es que hacen como 10 20 intentos por segundo y el fail2ban tarda como 15 o 30 segundos en bloquearlo si no mas.

La pregunta es, si hay forma de limitar el numero de intentos de acceso por ip a por ejemplo 2 o 3 o 5 por segundo ? no se si con un firewall o similar seria una opcion o el propio fail2ban tiene alguna opcion para bloquear en menos tiempo

les pongo un ejemplo del log

2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:15] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:16] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:17] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password
[2017-11-08 11:39:18] NOTICE[3147]: chan_sip.c:28316 handle_request_register: Registration from '"30" <sip:30@ipdelservidor>' failed for '195.154.230.39:5876' - Wrong password

a ver si alguien le ha pasado y sabe como solucionarlo hasta la fecha el fail2ban ha funcionado perfectamente, pero como van cambiando las ips es por seguridad mas bien y evitar ataques

gracias!

supa

I think this will accomplish that.

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp--dport 5060 -m conntrack --ctstate NEW -m recent  --set
iptables -A INPUT -p udp --dport 5060 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

service iptables save

Fail2ban default asterisk config should have blocked that log you posted after 4 or 5 attempts if you have the asterisk jail active.

hgmnetwork

Hello, thanks for the answer. The ip blocks it I have 5 attempts to block it, but since they do about 20 or 30 attempts per second, it takes like 10 or 20 seconds to block it and with that they get about 200 or 300 attempts per ip.

Hola, gracias por la respuesta. La ip lo bloquea tengo 5 intentos para el bloqueo, pero como hacen unos 20 o 30 intentos por segundo, tarda como 10 o 20 segundos en bloquearlo y con eso consiguen unos 200 o 300 intentos por ip.

supa

hgmnetwork If you are seeing high speed SIP connects like that it's probably script kiddies playing with sipvicous. So might be worth adding a sipvicous rule. Won't stop it but gets rid of a lot of the noise.

iptables -A INPUT -m string --algo bm --string "User-Agent: friendly-scanner" -j DROP

hgmnetwork

thanks !

Joseph-Suarez

hgmnetwork Hola, te ayudo la regla que dio supa en tu problema?

hgmnetwork

he podido detectar tambien un fallo en el fail2ban que tenia, miraba el asterisk-tpc y udp solo en puertos 5060 y 5051 y los ataques iban a otros puertos, he añadido la opcion de los puertos 5000 al 59999 y con eso he conseguido bloquearlos todos tambien

muchas gracias por la ayuda!

I could also detect a failure in the fail2ban I had, I looked at the asterisk-tpc and udp only on ports 5060 and 5051 and the attacks went to other ports, I added the option of ports 5000 to 59999 and with that I managed to block them all also

Thank you very much for the help!

supa

hgmnetwork You can just block all that stuff with iptables. I don't think you want fail2ban watching all those ports.

SIP scans on other ports do not matter because Asterisk only listens for SIP on 5060-5061 by default. You may see a log entry but they are not actually attacking anything.

You can view listening ports with netstat -plntu

Henry_3110

hgmnetwork Hola podrías ayudarme también estoy recibiendo ataques a mi central Voip, ya active el fal2ban, el detalle es que necesito acceder desde fuera para que otras sedes se conecten a mi servidor, agregue las reglas para que solo ellas puedan acceder pero sigo recibiendo ataques, saludos

dariohimo

lo mejor es utilizar una vpn.

dariohimo

y el geoip lo activaron para dejar sola la del pais donde estan o la del proveerdor.

hgmnetwork

Hola, ataques siempre vas a recibir pero con el fail2ban si lo configuras a 3 o 4 o 5 fallos bloqueara la ip. lo que te recomiendo es poner una duracion alta por ejemplo 10 dias de bloqueo y asi evitas que cada dia o dos dias intenten desde las mismas ips.

Tambien ver si te intentan atacar por puertos sip o por puertos http si es http puedes agregar doble seguridad poniendo un htaccess y protegiendo el directorio html para que no puedan entrar sino los que tengan el usuario y la clave que crees.

dariohimo

Me paso donde un cliente pero que pasa el ancho de banda se agota con estos ataques, las herramientas sino se están en constante monitorio y también alertas. Tarde o temprano se te entran.
Se coloco un firewall, por país se realizo restricción.
Con dyndns o la competencia se puede dejar solo las ip que se necesita.
cambiar los puertos por defecto.
los puertos rtp hacia internet no abrir todos, hacer pruebas.
si puedes utiliza iax2 para conexión de plantas.
no habrás el puerto 80 y 443 para acceso web por internet.
en sip utiliza el un puerto tcp o encripta la comunicación.
utiliza portkonick.
Y si recoje los logs del ataque y cuenta en tu país con e departamento de delitos informáticos. Habla con tu proveedor hasta donde te ayuda.
En conclusión a estudiar de todo un poco.

Henry_3110

Cuando abri el puerto 5060 para conectar otra sede vi estos intentos de conexión fallida y procedi a cerrarlos, ahi un log fallido
[2018-01-30 11:13:28] NOTICE[2226] chan_sip.c: Registration from '"105" <sip:105@172.30.1.109:5060>' failed for '172.30.1.2:5433' - Wrong password
Ya configure el fail2ban para los intentos fallidos y mi firewall en conjunto con Issabel para solo permitir mi red interna bloqueando conexión por ssh, http y https.
Mi pregunta es habrá alguna manera (Obviando la vpn que en este caso no la quisiera aplicar) que en mi otra sede configurar el equipo que solo se conecte por un puerto en especifico que yo configure y cuando llegue a mi firewall redireccionarlo al puerto 5060 para asi establecer el enlace sip???

dariohimo

Hola esta ip no es de tu rango de red, porque me sale como ip privada.

Henry_3110

dariohimo tengo un firewall de borde, permiti el acceso para configurar mi sede externa con mi central y me atacaron, de ahi quiero proceder es a configurar de que mi sede externa se comunique es por un puerto en especifico y cuando llegue a mi firewall hacer la redireccion de ese puerto al 5060 donde esta mi servidor central, todavia no tengo esa idea muy clara o plantear una soluciona diferente ya que igual tengo el problema con los puertos rtp, igual sigo investigando una solucion que podria ser con el protocolo iax, alguien que me pueda guiar ya que soy reciente con esto de Voip, saludos

dariohimo

si le quieren escribir a la emprea dueña de la ip que ataca o te vas de vacas.
% Information related to '195.154.0.0/16AS12876'

route: 195.154.0.0/16
descr: Online SAS
descr: Paris, France
origin: AS12876
mnt-by: MNT-TISCALIFR
created: 2013-08-02T09:05:22Z
last-modified: 2013-08-02T09:05:22Z
source: RIPE

dariohimo

miren este script para dejar permanente las ip que atacan, hay que raealizar pruebas.

http://www.secretaria.me/article/permanently-ban-repeat-offenders-fail2ban-updated

dariohimo

cambia los puertos por defecto.
utiliza iax2
deja solo la ip que se necesitan remoto.
geoip por region e ip.
Más Vpn, más vnp.

Conclusión, siempre te van a tacar, y hay que tener un buen Policia que no sea corrupto.

RiveraPer

Yo tengo los puertos abiertos en equipos de prueba, he abierto el 5060, 10000-20000 y 443.
Como seguridad utilizo simplemente iptables y fail2ban.
En iptables configuro geoip y algunas otras reglas que bloquean programas determinados.
Primero están las reglas de geoip las cuales me generan un log y después el resto de las regalas que generan otro log. Cuando veo que un ataque llega a las reglas siguientes a geoip, miro de que país es la ip y lo añado a geoip.
Esto me funciona muy bien, ya que en ningún caso han llegado ataque a fail2ban.
Ademas de lo anterior, también protejo http y https con usuario y password de apache.

hgmnetwork

yo hago parecido con el fail2ban y el usuario y clave de apache por htaccess eso ya le quitas el 90% de los posibles ataques ya que via web los limitas y via voip lo puertos el fail2ban debe bloquear si esta bien configurado revisa de vez en cuando los logs y mira que a los x intentos lo bloquea y listo

a ver si en el apartado de seguridad añaden en nuevos updates lo de usuario y clave por htaccess que lo veo algo muy util y seguro para evitar ataques por acceso web