Sshguard - 版の履歴

Kusanaginoturugi: Category:セキュアシェル

2024-08-16T09:38:45Z

← 古い版		2024年8月16日 (金) 18:38時点における版
1行目:		1行目:
	[[Category:~~Secure Shell~~]]		[[Category:セキュアシェル]]
	[[Category:ファイアウォール]]		[[Category:ファイアウォール]]
	[[en:Sshguard]]		[[en:Sshguard]]

Kusanaginoturugi: /* ログ出力 */ add TranslationStatus.

2024-07-21T12:28:21Z

ログ出力: add TranslationStatus.

← 古い版		2024年7月21日 (日) 21:28時点における版
191行目:		191行目:

	$ journalctl -afb -p info SYSLOG_FACILITY=4 SYSLOG_FACILITY=10		$ journalctl -afb -p info SYSLOG_FACILITY=4 SYSLOG_FACILITY=10

			{{TranslationStatus\|Sshguard\|2024-07-21\|812155}}

Kusanaginoturugi: /* 設定 */ 更新

2024-07-21T12:25:39Z

設定: 更新

← 古い版		2024年7月21日 (日) 21:25時点における版
104行目:		104行目:
	==設定==		==設定==

	''sshguard'' を使うのに必要な設定は {{ic\|/etc/sshguard.conf}} で行います。		''sshguard'' を使うのに必要な設定は {{ic\|/etc/sshguard.conf}} で行います。コメント付きの例は /usr/share/doc/sshguard/sshguard.conf.sample にあります。また、[https://bitbucket.org/sshguard/sshguard/src/master/examples/sshguard.conf.sample Bitbucket sshguard.conf.sample] にもあります。

	{{Note\|''sshguards'' の systemd ユニットにコマンドをパイプで渡したりフラグを付ける方法はサポートされていません [https://sourceforge.net/p/sshguard/mailman/message/35709860/]。フラグは設定ファイルで編集することができます。}}		{{Note\|''sshguards'' の systemd ユニットにコマンドをパイプで渡したりフラグを付ける方法はサポートされていません [https://sourceforge.net/p/sshguard/mailman/message/35709860/]。フラグは設定ファイルで編集することができます。}}

Kusanaginoturugi: /* nftables */ 不要箇所を削除

2024-07-21T12:23:12Z

nftables: 不要箇所を削除

← 古い版		2024年7月21日 (日) 21:23時点における版
88行目:		88行目:
	BACKEND="/usr/lib/sshguard/sshg-fw-nft-sets"		BACKEND="/usr/lib/sshguard/sshg-fw-nft-sets"
	}}		}}

	さらに、{{ic\|sshguard.service}} を[[systemd#ユニットファイルの編集\|編集]]して [[iptables]] が実行されないようにしてください:

	[Service]
	ExecStartPre=

	{{ic\|sshguard.service}} を[[起動]]・[[有効化]]したときに、{{ic\|ip}} と {{ic\|ip6}} アドレスファミリーに新しいテーブル {{ic\|sshguard}} が追加され、受信トラフィックが sshguard の IP アドレスリストを経由してフィルタリングされるようになります。{{ic\|sshguard}} テーブルのチェインのプライオリティは -10 に設定されるため、他のルールよりも先に処理されます。詳しくは {{man\|7\|sshguard-setup}} や [[nftables]] を見てください。		{{ic\|sshguard.service}} を[[起動]]・[[有効化]]したときに、{{ic\|ip}} と {{ic\|ip6}} アドレスファミリーに新しいテーブル {{ic\|sshguard}} が追加され、受信トラフィックが sshguard の IP アドレスリストを経由してフィルタリングされるようになります。{{ic\|sshguard}} テーブルのチェインのプライオリティは -10 に設定されるため、他のルールよりも先に処理されます。詳しくは {{man\|7\|sshguard-setup}} や [[nftables]] を見てください。

Kusanaginoturugi: /* UFW */ 更新

2024-07-21T12:21:50Z

UFW: 更新

← 古い版		2024年7月21日 (日) 21:21時点における版
56行目:		56行目:

	# hand off control for sshd to sshguard		# hand off control for sshd to sshguard
			# ipv4
	-N sshguard
			:sshguard - [0:0]
	-A ufw-before-input -p tcp --dport 22 -j sshguard		-A ufw-before-input -p tcp --dport 22 -j sshguard
			#for ipv6
			:sshguard - [0:0]
			-A ufw6-before-input -p tcp --dport 22 -j sshguard
	}}		}}

Kgx: /* アグレッシブに ban をおこなう */ 項目を修正

2023-12-20T01:22:44Z

アグレッシブに ban をおこなう: 項目を修正

← 古い版		2023年12月20日 (水) 10:22時点における版
149行目:		149行目:
	}}		}}

	===~~アグレッシブ~~に ban を~~おこな~~う===		=== 積極的に ban を行う ===

	断続的な攻撃に悩まされているユーザーにとっては、もっとアグレッシブな ban ポリシーを有効にしたほうが効果的でしょう。偶発的にログインを失敗するようなことは絶対ないと言えるのであれば、一度でもログインを失敗したらホストを自動的に ban するよう SSHGuard を設定することができます。設定ファイルのパラメータを以下のように編集してください:		断続的な攻撃に悩まされているユーザーにとっては、もっとアグレッシブな ban ポリシーを有効にしたほうが効果的でしょう。偶発的にログインを失敗するようなことは絶対ないと言えるのであれば、一度でもログインを失敗したらホストを自動的に ban するよう SSHGuard を設定することができます。設定ファイルのパラメータを以下のように編集してください:
155行目:		155行目:
	BLACKLIST_FILE=10:/var/db/sshguard/blacklist.db		BLACKLIST_FILE=10:/var/db/sshguard/blacklist.db

	設定したら {{ic\|sshguard.service}} ユニットを[[再起動]]してください。		設定したら {{ic\|sshguard.service}} ユニットを [[再起動]] してください。

	また、多重認証を拒否するには {{ic\|/etc/ssh/sshd_config}} に以下のように定義します:		また、多重認証を拒否するには {{ic\|/etc/ssh/sshd_config}} に以下のように定義します:
	MaxAuthTries 1		MaxAuthTries 1

	変更を適用するには {{ic\|sshd.service}} を[[再起動]]してください。		変更を適用するには {{ic\|sshd.service}} を [[再起動]] してください。

	==ヒントとテクニック==		==ヒントとテクニック==

Kgx: 他言語へのリンクを追加

2023-12-20T01:21:14Z

他言語へのリンクを追加

← 古い版		2023年12月20日 (水) 10:21時点における版
3行目:		3行目:
	[[en:Sshguard]]		[[en:Sshguard]]
	[[es:Sshguard]]		[[es:Sshguard]]
			[[zh-hans:Sshguard]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|Fail2ban}}		{{Related\|Fail2ban}}
19行目:		20行目:
	==設定==		==設定==

	sshguard は {{ic\|/var/log/auth.log}} や [[syslog-ng]]、そして systemd の journal にログイン試行の失敗がないか監視することで動作します。試行が失敗するたびに、問題のホストは　ban されて、しばらく通信ができなくなります。違反者が通信できなくなるデフォルトの時間は120秒で、ログインを失敗するたびに通信禁止時間が1.5倍になります。何度もログイン失敗したホストは永久的に追放するように sshguard を設定することもできます。		sshguard は {{ic\|/var/log/auth.log}} や [[syslog-ng]]、そして systemd の journal にログイン試行の失敗がないか監視することで動作します。試行が失敗するたびに、問題のホストは ban されて、しばらく通信ができなくなります。違反者が通信できなくなるデフォルトの時間は120秒で、ログインを失敗するたびに通信禁止時間が1.5倍になります。何度もログイン失敗したホストは永久的に追放するように sshguard を設定することもできます。

	一時的な ban も永続的な ban も、どちらも iptables の "sshguard" チェインにエントリを追加して違反者からのパケットを全て拒否することで行われています。ban は syslog に記録され {{ic\|/var/log/auth.log}} に残ったり、systemd を使っている場合、systemd の journal に記録されます。		一時的な ban も永続的な ban も、どちらも iptables の "sshguard" チェインにエントリを追加して違反者からのパケットを全て拒否することで行われています。ban は syslog に記録され {{ic\|/var/log/auth.log}} に残ったり、systemd を使っている場合、systemd の journal に記録されます。

Kgx: /* 適度に ban を行う例 */ リンクを修正

2023-12-20T01:19:38Z

適度に ban を行う例: リンクを修正

← 古い版		2023年12月20日 (水) 10:19時点における版
124行目:		124行目:
	* 2 回の試行 (それぞれのコストは 10、{{ic\|THRESHOLD}} パラメーターの値が 20 として) で 180 秒間攻撃者をブロックし、その後のブロック時間は 1.5 倍長くなります。この 1.5 倍の遅延は内部的なものであり、設定では制御されないことに注意してください。		* 2 回の試行 (それぞれのコストは 10、{{ic\|THRESHOLD}} パラメーターの値が 20 として) で 180 秒間攻撃者をブロックし、その後のブロック時間は 1.5 倍長くなります。この 1.5 倍の遅延は内部的なものであり、設定では制御されないことに注意してください。
	* 攻撃者は 10 回の試行後に永続的にブラックリストに登録されます (10 回の試行のコストは 10 であり、BLACKLIST_FILE パラメーターの値が 100 とします。)		* 攻撃者は 10 回の試行後に永続的にブラックリストに登録されます (10 回の試行のコストは 10 であり、BLACKLIST_FILE パラメーターの値が 100 とします。)
	* 攻撃者のIPだけでなく、すべてのIPv4サブネット24~~をブロックする~~ ([[wikipedia:~~Classless_Inter~~-Domain		* 攻撃者の IP だけでなく、すべての IPv4 サブネット 24 ([[wikipedia:ja:Classless Inter-Domain Routing\|CIDR 表記]]) をブロックします。

	{{hc\|/etc/sshguard.conf\|2=		{{hc\|/etc/sshguard.conf\|2=
	# Full path to backend executable (required, no default)		# Full path to backend executable (required, no default)

Kgx: /* 設定 */ 適度に ban を行う例を翻訳して追加

2023-12-20T01:16:10Z

設定: 適度に ban を行う例を翻訳して追加

@@ 116行目: / 116行目: @@
 上記の例では {{ic|200:}} によって、ホストの脅威レベルが 200 にまで達したときに sshguard によって永続的に ban されるようになります。
-設定後 {{ic|sshguard.service}} ユニットを[[再起動]]してください。
+設定後 {{ic|sshguard.service}} ユニットを [[再起動]] してください。
 ===アグレッシブに ban をおこなう===

Kusakata: 同期

2018-01-29T13:08:46Z

同期

差分を表示