Protéger son accès SSH avec DenyHosts

1. Présentation :

Le paquet DenyHosts analyse le fichier de logs des connexions SSH (/var/log/auth.log) et qui permet de bloquer les tentatives de connexions SSH effectuées à partir d’une adresse IP en bloquant cette adresse. Ceci vous permet de protéger votre accès SSH et votre serveur pour éviter qu’une personne malintentionnée puisse faire une attaque SSH en utilisant des dictionnaires afin de trouver votre mot de passe. Bien sur, pour pouvoir installer cette application vous devez disposer d’un serveur SSH sur votre machine.

Parmi les fonctionnalités de DenyHosts, on trouve les suivantes :

- Bannissement d’adresses IP : « Gestion d’une blacklist ».

- Non-surveillance de certaines adresses IP : « Gestion de whitelist ».

- Purge des entrées du fichier de bannissement afin d’enlever les entrées au bout d’un certain temps. Exemple : Bannir les adresses IP une semaine.

- Gestion des conditions d’échecs de connexion : Bannir au bout de n tentatives avec un compte utilisateur valide, bannir au bout de n tentatives avec un compte utilisateur invalide, etc.

- Notifications par e-mail.

- Synchronisation de la base des hôtes refusées avec une base située sur Internet.

Nous allons voir dans ce tutoriel comment configurer DenyHosts afin d’utiliser les fonctions indiquées ci-dessus, mais aussi, la configuration globale du daemon.

2. Installation :

Commencez par installer le paquet « denyhosts » grâce au gestionnaire de paquets Aptitude, de la manière suivante :



3. Les principaux fichiers utilisés :

Avant de se lancer dans la configuration, faisons le point sur les fichiers utilisés par DenyHosts :

- denyhosts.conf : Fichier de configuration global de DenyHosts


- hosts.deny : Fichier situé dans « /etc » afin de stocker des informations concernant les adresses IP bannies, c'est-à-dire la blacklist.

- hosts.allow : Fichier situé dans « /etc » afin de stocker des informations concernant les adresses IP non surveillées, c'est-à-dire la whitelist.

- auth.log : Ce fichier situé dans « /var/log »  est utilisé par DenyHosts afin d’analyser les tentatives de connexion sur le service SSH.

- denyhosts.pid : Fichier du PID/processus de DenyHosts.

- denyhosts : Ce fichier situé dans « /var/log » est utilisé pour les logs du daemon DenyHosts.
 
4. Configuration globale :

Avant de s’intéresser à la configuration du comportement de DenyHosts, intéressons-nous à la configuration globale du daemon. Dans le fichier de configuration « denyhosts.conf » vous trouverez les directives suivantes :

5. Configuration de la purge :

Comme je le disais dans la présentation, DenyHosts gère une blacklist contenant les adresses IP « blacklistées » c'est-à-dire bannies. Afin de gérer cette base d’adresses IP il est essentiel de la purger de temps en temps c'est-à-dire de supprimer les entrées datant de plus d’une semaine, de plus d’un mois, etc. selon ce que vous décidez.

Si l’on souhaite purger le fichier « hosts.deny » pour éliminer les entrées datant de plus de 15 jours, on utilise la directive « PURGE_DENY ». Toutefois, il se peut que la même IP redevienne bannie si la personne effectue à nouveau des tentatives de connexion infructueuses sur votre serveur et elle se retrouvera « purgée » au bout de 15 jours. De ce fait, la directive « PURGE_THRESHOLD » est utilisée afin de ne plus  purgée une entrée une fois qu’elle est apparue n fois dans la blacklist, ce qui permet de contrer ce phénomène.

6. Conditions de bannissement :

Pour ne pas surcharger le fichier des hôtes bannies il est important d’indiquer à DenyHosts sous quelles conditions il doit bannir un hôte.

On peut être plus ou moins flexible sur le bannissement si l’utilisateur tente de se connecter en SSH avec un utilisateur existant, avec l’utilisateur root, ou s’il tente de se connecter avec un utilisateur inexistant. L’application a prévu ces cas de figures est permet de configurer indépendamment les deux cas de figures.

De plus, on peut indiquer ce qu’on fait en cas de détection d’un hôte suspect. Soit on enregistre juste ton adresse IP sans le bannir, soit on le banni de l’accès SSH au serveur ou soit on le banni d’un accès total au serveur c'est-à-dire à tous les services du serveur.

7. Hôte autorisé suspect :

Il est possible de gérer une whitelist par l’intermédiaire du fichier « hosts.allow » afin de ne pas bannir ces adresses IP même en cas de tentatives de connexion excessives. Toutefois, DenyHosts peut vous avertir s’il estime qu’un hôte de la whitelist semble suspect grâce à l’activation de la directive « SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS ».

8. Notifications par message électronique :

Lorsqu’un hôte est banni vous pouvez recevoir une notification par e-mail en configurant DenyHosts en conséquence. L’envoi de mail s’effectuera avec le protocole prévu à cet effet, à savoir le protocole SMTP (port 25 par défaut).

9. Conservation des échecs :

DenyHosts gère un historique des échecs ce qui fait que si vous faites deux tentatives échouées : une le lundi et une le mardi, cela fera 2 tentatives échouées pour votre adresse IP. Il faut donc indiquer à DenyHosts au bout de combien de temps il doit remettre les différents compteurs de tentatives à zéro.

Comme pour les conditions de bannissement, on peut indiquer une valeur différente pour le compteur concernant les authentifications avec l’utilisateur root, avec un utilisateur existant (sauf root) et avec un utilisateur inexistant. On peut aussi remettre le compteur à zéro si l’utilisateur finit par réussir à s’authentifier.

10. Exécuter un script lors d’un ajout/une suppression :

Lorsque DenyHosts retire ou ajoute un hôte du fichier « hosts.deny » lors d’une purge ou d’un bannissement, vous pouvez lui indiquer d’exécuter un script  à l’occasion.

11. Format des journaux :

Afin de personnaliser les journaux générés par DenyHosts dans le cas où ils sont activés, paramétrez les deux paramètres suivants : DAEMON_LOG_TIME_FORMAT et DAEMON_LOG_MESSAGE_FORMAT. Le premier permettant de configurer comment sont inscrites la date et l’heure, et le second permet de configurer le contenu du message. Je pense qu’il n’est pas nécessaire de modifier ces deux paramètres, mais si vous y tenez libre à vous de le faire.

12. Synchronisation :

Comme je le disais dans la présentation, HostsDeny permet de se synchroniser à intervalle régulier avec un serveur situé sur internet, afin d’obtenir des informations sur les dernières attaques effectuées et ainsi de mettre à jour la base deny.hosts locale (SYNC_DOWNLOAD). Vous pouvez aussi inclure l’hôte dans votre base selon certaines conditions, que vous verrez dans la configuration présentée ci-dessous. A l’inverse, vous pouvez aussi ne pas inclure dans votre base les hôtes étant référencés par d’autres serveurs, mais, vous pouvez vous contenter d’envoyer des informations sur les hôtes que vous avez-vous-même banni avec votre serveur afin de compléter la base des serveurs qui se synchronise sur internet (SYNC_UPLOAD).

13.  Renseigner la whitelist :

Rappelez-vous, le fichier « /etc/hosts.allow » permet de gérer une whitelist c'est-à-dire une liste des hôtes qu’on ne souhaite pas bloquer, ce qui peut être utile pour indiquer l’adresse IP voir même la plage IP des machines du service informatique.

Par exemple, pour autoriser continuellement l’accès à tous les services (ALL) pour l’hôte « 172.16.1.10 », indiquez ceci dans le fichier :

Un autre exemple, si vous souhaitez autoriser l’accès SSH à l’hôte « 172.16.1.11 », indiquez ceci :

Note : Indiquez une règle par ligne.

14. Redémarrez le service :

Après avoir effectué votre configuration à partir du fichier d’origine ou du fichier traduit par mes soins, pensez à redémarrez le service pour que la configuration soit rechargée :

15. Statistiques en lignes :

Un sous-domaine du site « denyhosts.net » accessible à l’adresse suivante : xmlrpc.denyhosts.net permet d’obtenir une série de statistiques notamment sur le nombre d’hôtes bannies dans le monde, le nombre d’hôtes uniques bannies par DenyHosts, etc.  Malheureusement cette page n’est plus mise à jour depuis juillet 2011 mais peut vous donner un ordre d’idée du travail effectué par DenyHosts. Je vous invite donc à faire un petit tour sur cette page, histoire de finir le tutoriel en douceur.