CentOS 5 – DenyHosts

DenyHosts es un software bastante utilizado que intenta evitar los ataques de fuerza bruta vía ssh (dictionary based attacks o brute force attack).

Existen varios, como FailtoBan, aunque esté sea más genérico y dependa mucho de encontrar las expresiones regulares adecuadas lo que todavía no está bien encontrado.

Volviendo a DenyHosts, si lo que queremos es evitar ataques por ssh, este software es bastante útil. Lo digo porque cuando tienes el fichero btmp con este tamaño:

[root@hn19 software]# ls -lisah /var/log/btmp
3189425 785M -rw------- 1 root utmp 784M Jul 30 07:39 /var/log/btmp


Es para hacer algo, ¿no?

1. Descargar RPMforge
# wget
rpmforge-release-0.3.6-1.el5.rf.x86_64.rpm

2. Instalar RPMforge
# rpm -Uvh rpmforge-release-0.3.6-1.el5.rf.x86_64.rpm

3. Instalar DenyHosts
# yum install denyhosts

El archivo de configuración está en:

/etc/denyhosts/denyhosts.cfg

4. Iniciar denyhosts
[root@ software]# service denyhosts start
starting DenyHosts: /usr/bin/env python
/usr/bin/denyhosts.py --daemon --config=/etc/denyhosts/denyhosts.cfg

Es más que posible que ya en el primer arranque del servicio, nos añada hosts al fichero /etc/hosts.deny para su bloqueo. En el log podemos ir viendo el funcionamiento del servicio.

# tail -f /var/log/denyhosts

#!/bin/bash
#modificar si el mirror ya no esta disponible
URL_DENYHOSTS="http://downloads.sourceforge.net/project/denyhosts/denyhosts/2.6/DenyHosts-2.6.tar.gz?r=http%3A%2F%2Fsourceforge.net%2Fprojects%2Fdenyhosts%2Ffiles%2F&ts=1290179362&use_mirror=ovh"
RUTA_PYTHON="/usr/bin/python"
RUTA_DENYHOSTS="/usr/share/denyhosts"
cd /tmp
wget $URL_DENYHOSTS
tar xf DenyHosts-2.6.tar.gz
cd DenyHosts-2.6
python setup.py install
cd $RUTA_DENYHOSTS
cp denyhosts.cfg-dist denyhosts.cfg
cp daemon-control-dist daemon-control
chown root daemon-control
chmod 700 daemon-control
 cd /etc/init.d
ln -s /usr/share/denyhosts/daemon-control denyhosts
chkconfig --add denyhosts

SECURE_LOG = /var/log/secure
HOSTS_DENY = /etc/hosts.deny
PURGE_DENY =
PURGE_THRESHOLD = 2
BLOCK_SERVICE  = sshd
DENY_THRESHOLD_INVALID = 5
DENY_THRESHOLD_VALID = 5
DENY_THRESHOLD_ROOT = 3
DENY_THRESHOLD_RESTRICTED = 2
WORK_DIR = /usr/share/denyhosts/data
SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES
HOSTNAME_LOOKUP=NO
LOCK_FILE = /var/lock/subsys/denyhosts
ADMIN_EMAIL =
SMTP_HOST = localhost
SMTP_PORT = 25
SMTP_FROM = DenyHosts 
SMTP_SUBJECT = DenyHosts Report
SYSLOG_REPORT=YES
ALLOWED_HOSTS_HOSTNAME_LOOKUP=NO
AGE_RESET_VALID=1d
AGE_RESET_ROOT=5d
AGE_RESET_RESTRICTED=1d
AGE_RESET_INVALID=10d
RESET_ON_SUCCESS = yes
#PLUGIN_DENY=/usr/bin/true
#PLUGIN_PURGE=/usr/bin/true
#USERDEF_FAILED_ENTRY_REGEX=
DAEMON_LOG = /var/log/denyhosts
DAEMON_SLEEP = 30s
DAEMON_PURGE = 1h
SYNC_SERVER = http://xmlrpc.denyhosts.net:9911
SYNC_INTERVAL = 1h
SYNC_UPLOAD = yes
SYNC_DOWNLOAD = yes
SYNC_DOWNLOAD_THRESHOLD = 3
SYNC_DOWNLOAD_RESILIENCY = 5h