Logálacha isteach riarthóra a chosaint in aghaidh Brute Force: cosaint Brute Force do gach logáil isteach

Go achomair: Tá cosaint Brute Force éifeachtach do logáil isteach comhdhéanta de roinnt sraitheanna: logáil isteach dhá fhachtóir do gach riarthóir, brú ar iarrachtaí logála isteach san fhreastalaí gréasáin, glais uathoibrithe ar leibhéal an líonra agus stóráil shlán focal faire sa chód. Nuair is féidir, ní bhíonn réimse an riarthóra inrochtana ach ó líonraí aitheanta ina theannta sin.

Conas a théann ionsaithe Brute Force ar logálacha isteach i bhfeidhm

Déantar ionsaí uathoibrithe ar gach leathanach logála isteach atá inrochtana go poiblí luath nó mall. Baineann sé seo le logálacha isteach CMS, cúlchláir siopaí, painéil óstála, webmail agus SSH. Ní gá d'ionsaitheoirí a fhios a bheith acu cé leis an suíomh gréasáin chuige sin; cuardaíonn a n-uirlisí an t-idirlíon do sheoltaí logála isteach aitheanta.

Tá trí leagan forleathan. Leis an Brute Force clasaiceach, bainfear triail as a lán focal faire i gcoinne cuntais amháin. Le Password Spraying déantar focal faire coitianta a thástáil i gcoinne a lán cuntas chun glais a sheachaint. Le Credential Stuffing úsáidtear dintiúir a goideadh ó sheirbhísí eile.

Do bhainistíocht agus úinéirí tá an cás achoimrithe go simplí: tá cuntas riarthóra a tógadh chomh contúirteach le bearna slándála sa fhreastalaí. An té is riarthóir é, is féidir leis eisínteachtaí a shuiteáil, cód a athrú agus sonraí a easpórtáil.

Aithnítear ionsaithe den sórt sin ar charnadh logálacha isteach teipthe, ar iarratais POST ar sheoladh an logála isteach ó a lán seoltaí IP éagsúla agus ar iarrachtaí logála isteach le hainmneacha úsáideora ar nós “admin” nó ainmneacha ón bhfógra dlíthiúil. Féadann ualach freastalaí atá suntasach níos airde ag amanna neamhghnácha a bheith ina leid freisin, mar go gcosnaíonn gach logáil isteach am ríomhaireachta don seiceáil focal faire.

Cosaint Brute Force ag an logáil isteach: na bearta is éifeachtaí

Ní oireann gach beart do gach córas. Tá an seicheamh seo a leanas cruthaithe, mar go gcomhcheanglaíonn na chéad phointí an éifeacht is mó le hiarracht bheag:

• Logáil isteach dhá fhachtóir do gach cuntas le cearta riarthóra. Ansin ní leor fiú focal faire buailte. Mionsonraí sa treoir Logáil isteach dhá fhachtóir do rochtana riarthóra.
• Focail fhaire uathúla fhada ó bhainisteoir focal faire, gan cuntais chomhroinnte.
• Rate-limiting san fhreastalaí gréasáin, ionas nach bhfuil ach cúpla iarracht in aghaidh an nóiméid indéanta do gach seoladh.
• Glais uathoibrithe ar sheoltaí atá suntasach arís agus arís eile ar leibhéal an líonra, mar shampla le Fail2ban.
• Réimse an riarthóra a laghdú: rochtain ón líonra cuideachta nó trí VPN amháin, comhéadain nach bhfuil gá leo a mhúchadh.
• Teachtaireachtaí earráide aonfhoirmeacha, nach nochtann an bhfuil an t-ainm úsáideora ann.
• Monatóireacht ar logálacha isteach teipthe agus fógra nuair a thagann neamhghnáthaíochtaí chun solais.

Rate-limiting san fhreastalaí gréasáin

Le Nginx is féidir líon na n-iarratas ar sheoladh logála isteach a theorannú do gach seoladh IP. Taispeánann an sampla leathanach logála isteach WordPress; oiriúnaigh an cosán agus an tabhairt thar PHP do do chóras.

# sa bhloc http
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

# sa bhloc server
location = /wp-login.php {
    limit_req zone=login burst=3 nodelay;
    limit_req_status 429;
    # cuir isteach anseo gnáththabhairt thar PHP do fhreastalaí
    include snippets/fastcgi-php.conf;
    fastcgi_pass unix:/run/php/php-fpm.sock;
}

Faoi Apache tugann srianadh réimse an riarthóra do sheoltaí aitheanta cosaint shimplí éifeachtach:

<Location "/admin">
    Require ip 192.0.2.0/24
</Location>

Is ionadchoimeádán ón réimse doiciméadúcháin é an seoladh 192.0.2.0/24; cuir isteach do líonra cuideachta nó seoladh do VPN. Má tá do shuíomh gréasáin taobh thiar de phróicsaí nó CDN, caithfidh an freastalaí fíorsheoladh an chuairteora a bheith ar eolas aige, seachas sin ní oibríonn an riail mar a bhíothas ag súil leis.

Fail2ban agus glais ar leibhéal an líonra

Léann Fail2ban logchomhaid agus glasálann sé seoltaí a fheictear arís agus arís eile sa bhalla dóiteáin ar feadh tréimhse socraithe. Don rate-limiting Nginx tá scagaire oiriúnach ag Fail2ban cheana:

# /etc/fail2ban/jail.local
[nginx-limit-req]
enabled  = true
port     = http,https
logpath  = /var/log/nginx/error.log
maxretry = 10
findtime = 10m
bantime  = 1h

[sshd]
enabled  = true
maxretry = 5
bantime  = 1h

Seiceáil tar éis an atosaithe le fail2ban-client status an bhfuil na jails gníomhach. Bí cúramach do sheoltaí seasta féin a eisiamh trí ignoreip, ionas nach nglasálann tú tú féin amach. Do leathanaigh logála isteach CMS aonair is féidir scagairí dá gcuid féin a úsáid, ach caithfidh siad oiriúnú d'fhíorfhormáid an loga agus iad a thástáil roimh ré.

Má sheasann CDN nó próicsaí os comhair an fhreastalaí, ní fheiceann Fail2ban gan socruithe breise ach a seoltaí. Bheadh glas ansin ag bualadh gach cuairteora. Sa chás sin caithfidh an freastalaí gréasáin fíorsheoladh an chuairteora a ghlacadh ón gceanntásc den tseirbhís roimhe, agus is fearr glais a shocrú go díreach ag an CDN.

Is uirlis in aghaidh na mais iad glais ar leibhéal an líonra, ní in aghaidh ionsaithe spriocdhírithe. Seachnaíonn ionsaithe dáilte as an-chuid seoltaí le cúpla iarracht in aghaidh an tseolta aon tairseach. Dá bhrí sin is é an dara fachtóir an tsraith is tábhachtaí i gcónaí, agus laghdaíonn Fail2ban ualach agus torann loga thar aon rud eile.

Focail fhaire a stóráil i gceart i mbogearraí féin

An té a ríomhchláraíonn logálacha isteach dá gcuid féin, níor cheart dó focail fhaire a stóráil i gclaochód ná le feidhmeanna hash tapa ar nós MD5 nó SHA-1 riamh. Tagann PHP le password_hash(), réiteach slán a bhainistíonn salt agus modh go huathoibríoch.

<?php
declare(strict_types=1);

// Le linn clárúcháin nó athraithe focal faire
$hash = password_hash($passwort, PASSWORD_DEFAULT);

// Le linn logála isteach
if (password_verify($eingabe, $hashAusDatenbank)) {
    if (password_needs_rehash($hashAusDatenbank, PASSWORD_DEFAULT)) {
        $neu = password_hash($eingabe, PASSWORD_DEFAULT);
        // $neu a stóráil sa bhunachar sonraí
    }
    // Logáil isteach rathúil, ID seisiúin a athnuachan
} else {
    usleep(random_int(200000, 400000)); // am freagartha comhionann
    // teachtaireacht earráide aonfhoirmeach a aschur
}

Cinntíonn password_needs_rehash() go n-aistrítear hashes níos sine go huathoibríoch chuig an modh reatha ag an gcéad logáil isteach eile. Logáil iarrachtaí teipthe le hamanna, cuntas agus seoladh, ionas go dtugtar patrúin faoi deara. Tá nótaí faoin meastóireacht sa treoir Logaí an fhreastalaí gréasáin a anailísiú tar éis ionsaithe.

Sainiúlachtaí i gCMS, i siopaí agus i bpainéil

Tá bealaí eile ag a lán córas, seachas an leathanach logála isteach infheicthe, trína seiceáiltear dintiúir. Is minic a dhéantar dearmad ar na hiontrálacha taobh seo agus an chosaint á socrú.

• WordPress: Glacann an comhéadan xmlrpc.php le logálacha isteach freisin. Mura bhfuil sé ag teastáil, mar shampla le haghaidh aipeanna níos sine, cuir faoi ghlas é san fhreastalaí gréasáin. Seiceáil freisin an bhfuil ainmneacha úsáideora infheicthe trí leathanaigh údair nó trí chomhéadan REST, agus úsáid ainmneacha do riarthóirí nach bhfuil le feiceáil go poiblí.
• Siopaí: Seachas réimse an riarthóra, is sprioc iad cuntais chliant, go háirithe do Credential Stuffing. Cabhraíonn rate-limiting, fógraí faoi logálacha isteach nua agus dara fachtóir roghnach do chliaint anseo.
• Painéil óstála agus webmail: Is minic a bhíonn na comhéadain seo inrochtana ar fud an domhain agus cosnaíonn siad an freastalaí ar fad. Níor cheart iad a bheith inrochtana ach ó líonraí aitheanta nó trí VPN.
• SSH: Déanann logáil isteach le heochair seachas focal faire buille faoi thuairim clasaiceach gan éifeacht.

Cé na feidhmeanna cosanta a thugann do chóras leis, tá sé i ndoiciméadú an mhonaróra. Ba cheart eisínteachtaí ó thríú páirtithe a chothabháil go gníomhach, seachas sin éiríonn siad féin ina riosca. Do oibreoirí WordPress achoimríonn an leathanach WordPress agus PHP2Shell na tosaíochtaí reatha.

Conas a chabhraíonn PHP SOS go nithiúil?

• Taifeadaimid gach leathanach logála isteach atá inrochtana ar do fhreastalaithe, ón gCMS go dtí an painéal óstála, agus measaimid a gcosaint.
• Cuirimid rate-limiting, Fail2ban agus srianta rochtana ar bun mar chuid den chruatú freastalaí agus tástálaimid iad.
• Tacaímid le tabhairt isteach logála isteach dhá fhachtóir do riarthóirí agus doiciméadaímid rochtana éigeandála.
• Leis an Monatóireacht slándála coinnímid súil ar fhoghlórtha teipthe agus ar chuntais riarthóra nua go leanúnach.

Ceisteanna coitianta

Foinsí

• OWASP Cheat Sheet Series (Authentication)
• BSI: moltaí maidir le focail fhaire shlána agus logáil isteach dhá fhachtóir
• OWASP Top 10