Kisuke IT Log - заметки практикующего сисадмина: разборы реальных инцидентов, миграций и восстановлений. Что сломалось, как чинили и что взяли на будущее - без теории ради теории.
Fail2ban стоит почти на каждом Linux-сервере, но на многих из них он не банит никого. Пакет установлен, служба запущена, а в журнале тысячи неудачных входов по SSH и ни одного бана. Почти всегда дело не в fail2ban, а в настройке: jail не включён, смотрит не в тот лог или фильтр не совпадает с форматом строк. … Читать далее
Третья, заключительная часть разбора Linux-клиента для личного проекта централизованной синхронизации банов IP (первые две - про первую ночь с OOM-штормом и про пять багов, найденных при аудите файрволов). На этот раз всё началось с безобидного статистического вопроса - и закончилось находкой самого серьёзного бага во всей истории проекта, в интеграции с fail2ban. Предыдущие части серии … Читать далее
Открываю журнал безопасности на сервере клиента, а там тысячи событий 4625: кто-то методично подбирает пароль к RDP. Хочу заблокировать адрес, а событие 4625 в поле «Сетевой адрес источника» показывает прочерк. И так во всех записях. Первая мысль: журнал сломан или атакующий как-то его обходит. На самом деле Windows просто пишет адрес в другое место. Расскажу, … Читать далее
Почти на каждом Linux-сервере, который мне достаётся, стоит fail2ban, и почти везде владелец уверен, что сервер защищён. Я решил проверить это на цифрах: взял 13 боевых серверов и посчитал, какие атаки за сутки проходят мимо. Результат неприятный. Ниже цифры, шесть причин, почему fail2ban не банит то, что должен, и команды, которыми это проверяется за пять … Читать далее
Когда я рассказывал, как связал серверы клиентов в общий бан-лист, в списке планов была строчка «идея на подумать: плагин для WordPress на обычном хостинге, куда агент не поставить». Идея дозрела быстрее, чем я думал. Но вместо плагина для одной CMS получился PHP-модуль, которому всё равно, что крутится на сайте. В этой статье расскажу, зачем мне … Читать далее
Продолжение разбора Linux-клиента для личного проекта централизованной синхронизации банов IP (первую ночь после запуска разбирал в прошлой статье - DNS-ловушка через прокси и OOM-шторм от исторического бэклога). После того как клиент стабилизировался, прошёл флот уже не в режиме тушения пожара, а в режиме планового аудита - и это оказалось не менее продуктивно: нашлись баги в … Читать далее
Я занимаюсь аутсорсингом IT-инфраструктуры: на постоянном обслуживании около десятка организаций и примерно столько же клиентов, которые обращаются время от времени. На мне около двадцати серверов. Эта статья о том, как я полгода закрывал одну конкретную боль на этих серверах и в итоге собрал общий бан-лист, которым теперь пользуюсь не только я. Боль: каждый сервер отбивается … Читать далее
Веду личный проект - централизованную синхронизацию банов по флоту клиентских серверов (систему уже разбирал в паре предыдущих статей цикла). До сих пор весь флот был на Windows: 14 RDP-серверов, общий пул банов через центральный сервер, персонализированный PowerShell-инсталлятор. Возникла мысль: раз upstream-проект IPBan официально собирает релизы под Linux, почему бы не довести систему до полноценного кросс-платформенного … Читать далее
Дома четыре умных светильника на платформе eWeLink (бренд CoolKit) разом показали в приложении статус «не в сети». Первая версия - проблема с домашним Wi-Fi или DHCP. Но обе эти части оказались в полном порядке: все устройства были ассоциированы с точками доступа, DHCP-аренды действовали, три из четырёх держали соединение больше 11 суток без единого обрыва. Диагностика: … Читать далее
Веду свой личный проект - централизованную синхронизацию банов по флоту клиентских Windows-серверов (сейчас в пилоте 14 машин). Систему уже разбирал в паре предыдущих статей: модель «заявителей» (ip_claims.json) когда-то решила проблему, что один клиент, поймавший атаку первым, снимал бан у всей фермы по истечении своего таймера. Это происходило даже когда остальные машины ещё реально отбивались от … Читать далее