Sisäänrakennettu brute-force-suojaus (Linux ja Windows)

Plesk sisältää sisäänrakennetun brute-force-suojauksen, joka rajoittaa kirjautumisyrityksiä Plesk-ohjauspaneelin käyttöliittymässä ja API:ssa sekä salasanan palautuspyyntöjä. Se on oletusarvoisesti käytössä kaikissa Plesk-asennuksissa.

Oletusarvoisesti 5 epäonnistuneen kirjautumisyrityksen jälkeen samasta IP-osoitteesta tuleva IP-osoite on rajoitettu 300 sekunnin ajaksi, ennen kuin se voi yrittää kirjautua uudelleen sisään. Voit muuttaa tai poistaa tämän toiminnan käytöstä panel.ini-määritystiedoston avulla. Lisätietoja: Brute-force-suojauksen määrittäminen.

Fail2Ban (vain Linux)

Fail2Ban suojaa palvelintasi skannaamalla eri Plesk-palvelujen lokitiedostot. Se etsii merkintöjä, jotka viittaavat todennusvirheisiin, tunnettuihin hyökkäyksiin ja muihin epäilyttäviin merkintöihin, jotka tulevat tietyistä IP-osoitteista. Kun tiettyyn IP-osoitteeseen liittyvien tällaisten lokimerkintöjen määrä saavuttaa ennalta määritetyn arvon, Fail2Ban joko lähettää ilmoitussähköpostin tai ”kieltää” kyseisen IP-osoitteen (estää pääsyn kyseisestä IP-osoitteesta lisäämällä vastaavan säännön palomuurin määritykseen) ennalta määritetyksi ajaksi (”kieltoaika”).

Esimerkiksi oletusarvoisella Fail2Ban-määrityksellä, kun IP-osoitteesta 198.51.100.1 kirjataan viides epäonnistunut yritys kirjautua Pleskiin kymmenen minuutin aikana, palomuurin määritykseen lisätään seuraava sääntö:

Chain f2b-plesk-login (1 references) target prot opt source destination REJECT all – 198.51.100.1 anywhere reject-with icmp-port-unreachable

Kun kymmenen minuutin kieltoaika on päättynyt, IP-osoitteen esto poistetaan automaattisesti ja vastaava palomuurisääntö poistetaan.

Fail2Ban käyttää ”kieltoja” määrittääkseen suojaussääntönsä. Jokainen kielto koostuu kahdesta osasta: ”suodattimesta”, joka tunnistaa epäilyttävän toiminnan lokitiedostoissa, ja ”toiminnosta”, joka määrittää, mitä tapahtuu (kuten IP-osoitteen kieltäminen), kun tästä IP-osoitteesta havaitaan riittävästi rikkomuksia.

Yksi kielto vastaa yleensä yhtä palvelimella käynnissä olevaa palvelua, kuten WWW-palvelinta tai SSH-palvelinta. Plesk sisältää valmiiksi useita esimääritettyjä kieltoja, jotka kattavat useimmat Plesk-palvelut. Voit myös lisätä mukautettuja kieltoja manuaalisesti.

Varoitukset ja rajoitukset

Kun käytät Fail2Bania Pleskissä, muista seuraavat rajoitukset:

• Fail2Ban perustuu pelkästään IP-osoitteisiin eikä suorita isäntänimihakuja, ellei sitä ole määritetty tekemään niin.

• Fail2Ban on käytettävä tiukimpia asetuksiaan, jotta se suojaa hajautetuilta brute-force-hyökkäyksiltä, koska se tunnistaa tunkeutujat IP-osoitteen perusteella. Tällaiset asetukset voivat aiheuttaa ongelmia laillisille käyttäjille vääristä hälytyksistä johtuen.

Fail2Banin ottaminen käyttöön

Palvelimilla, jotka on asennettu ”Recommended”-esiasetuksella, Fail2Ban on oletusarvoisesti käytössä ja kaikki oletuskiellot on aktivoitu. Jos Fail2Ban ei ole käytössä palvelimellasi (esimerkiksi koska sitä ei ole asennettu), sinun on asennettava ja otettava se käyttöön sekä aktivoitava oletuskiellot, ennen kuin voit hyötyä sen tarjoamasta suojauksesta.

Fail2Banin asentaminen ja ottaminen käyttöön:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”). Jos IP-osoitteen kieltäminen (Fail2Ban) puuttuu, sinun on ensin asennettava ”Fail2Ban”-komponentti.

3. Valitse ”Ota tunkeutumisen tunnistus käyttöön” -valintaruutu ja napsauta sitten Käytä.

4. Siirry ”Kiellot”-välilehdelle, valitse kaikki ”Passiivinen”-tilassa olevat kiellot ja napsauta sitten Ota käyttöön.

Fail2Ban toimii nyt oletusasetuksilla. Voit poistaa Fail2Banin käytöstä poistamalla ”Ota tunkeutumisen tunnistus käyttöön” -valinnan ”Asetukset”-välilehdeltä ja napsauttamalla sitten OK.

Fail2Banin määrittäminen

Fail2Banin oletusasetukset ovat optimaaliset useimmissa tilanteissa. Voit kuitenkin halutessasi muuttaa niitä tarpeidesi mukaan, jolloin Fail2Ban on tiukempi tai sallivampi.

Muuta Fail2Ban-asetuksia:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Asetukset”-välilehdelle.

4. (Valinnainen) Muuta ”IP-osoitteen kieltoaika” -arvoa muuttaaksesi aikaa, jonka IP-osoite on kiellettynä pidempään tai lyhyemmän aikaa. Kun arvoksi asetetaan ”-1”, kaikki kiellot ovat pysyviä.

   Pidempi kieltoaika pitää hyökkääjän poissa pidempään, mutta pitää myös laillisen käyttäjän poissa pidempään väärän hälytyksen tapauksessa. Pysyvä kielto estää kaikki jatkohyökkäykset IP-osoitteesta, mutta lukitsee myös laillisen käyttäjän pysyvästi pois väärän hälytyksen tapauksessa. Voit poistaa minkä tahansa IP-osoitteen kiellon manuaalisesti milloin tahansa.

5. (Valinnainen) Muuta ”Seuraavien hyökkäysten tunnistusväli” -arvoa muuttaaksesi aikaa, jonka yksittäinen lokimerkintä, joka ilmaisee todennusvirheen tai mahdollisen hyökkäyksen, pysyy ”aktiivisena” pidempään tai lyhyemmän aikaa.

   Mitä pidempi aika, sitä suurempi mahdollisuus havaita ja estää väliajoin tulevia hyökkäyksiä, mutta myös väärien hälytysten mahdollisuus kasvaa, koska myös laillisten käyttäjien todennusvirheitä seurataan pidempään.

6. (Valinnainen) Muuta ”Virheiden määrä ennen kuin IP-osoite kielletään” -arvoa asettaaksesi yksittäisestä IP-osoitteesta tulevien todennusvirheiden tai mahdollisten hyökkäysten määrän, joka vaaditaan kiellon asettamiseksi.

   Mitä pienempi arvo, sitä vähemmän todennusvirheitä tai mahdollisia hyökkäyksiä on havaittava, jotta kielto asetetaan. Tämä lisää turvallisuutta mutta myös väärien hälytysten todennäköisyyttä. Kun tämän parametrin arvoksi asetetaan ”1”, kielto asetetaan joka kerta, kun todennusvirhe tai mahdollinen hyökkäys havaitaan. Tämä tarjoaa maksimaalisen suojauksen, mutta myös maksimoi väärien hälytysten mahdollisuuden.

7. Valitse OK.

Määritetyt asetukset astuvat nyt voimaan. Huomaa, että näitä asetuksia voi muuttaa myös yksittäisille kielloille, ja yksittäisen kiellon asetukset ovat etusijalla ”Asetukset”-välilehdellä määritettyihin nähden.

IP-osoitteiden kieltäminen ja kiellon poistaminen manuaalisesti

Näet, mitkä IP-osoitteet Fail2Ban on tällä hetkellä kieltänyt. Voit myös manuaalisesti asettaa kiellon IP-osoitteelle tai poistaa kiellon IP-osoitteelta, joka on kielletty.

Kaikkien tällä hetkellä kiellettyjen IP-osoitteiden luettelon näyttäminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Kielletyt IP-osoitteet”-välilehdelle.

Tällä välilehdellä näet kaikki IP-osoitteet, jotka Fail2Ban on tällä hetkellä kieltänyt, sekä kiellon aiheuttaneiden kieltojen nimet.

Yhden tai useamman IP-osoitteen manuaalinen kieltäminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Kielletyt IP-osoitteet”-välilehdelle ja napsauta Kiellä IP.

4. Määritä IP-osoite tai CIDR-aliverkon peite, jonka haluat kieltää kohdassa ”IP-osoite”.

5. Valitse haluamasi kieltopituus kohdassa ”Kiellä IP-osoite” ja napsauta sitten OK.

Määritetty IP-osoite tai osoitteet on nyt kielletty. Näet ne ”Kielletyt IP-osoitteet”-välilehdellä.

Voit poistaa IP-osoitteen kiellon manuaalisesti milloin tahansa riippumatta siitä, kiellettiinkö se automaattisesti vai manuaalisesti.

Yhden tai useamman IP-osoitteen kiellon poistaminen manuaalisesti:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Kielletyt IP-osoitteet”-välilehdelle.

4. Valitse IP-osoite tai osoitteet, joiden kiellon haluat poistaa, nykyisesti kiellettyjen IP-osoitteiden luettelosta, ja napsauta sitten Poista kielto.

Valitun IP-osoitteen tai osoitteiden kielto on poistettu.

IP-osoitteiden tai isäntänimien estäminen kieltämästä

Voit estää tiettyjä IP-osoitteita, aliverkkoja tai isäntänimiä koskaan joutumasta Fail2Banin kieltämiksi. Tätä voidaan käyttää esimerkiksi varmistamaan, ettet koskaan joudu Fail2Banin lukitsemaksi palvelimelta.

IP-osoitteen, aliverkon tai isäntänimen estäminen kieltämästä:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Luotetut IP-osoitteet”-välilehdelle ja napsauta Lisää luotettava IP.

4. Määritä IP-osoite, CIDR-aliverkon peite tai isäntänimi, jonka haluat ettei koskaan kiellettäisi, kohdassa ”IP-osoite”.

5. (Valinnainen) Lisää viesti, jossa kerrot syyn IP-osoitteen, CIDR-aliverkon peitteen tai isäntänimen lisäämiselle luetteloon kohdassa ”Kuvaus”. Tämä viesti näkyy ”Luotetut IP-osoitteet”-välilehdellä.

6. Valitse OK.

Määritettyä IP-osoitetta, CIDR-aliverkon peitettä tai isäntänimeä ei kiellä Fail2Ban, vaikka se laukaisisi yhden tai useamman aktiivisen kiellon. Voit nähdä luettelon IP-osoitteista, CIDR-aliverkon peitteistä ja isäntänimistä, joita Fail2Ban ei voi kieltää, ”Luotetut IP-osoitteet”-välilehdellä.

Fail2Ban-lokitiedoston katseleminen ja lataaminen

Fail2Ban kirjoittaa tiedot IP-osoitteiden kieltämisestä ja kiellon poistamisesta sekä muut tiedot (esimerkiksi kieltojen luomisesta tai aktivoinnista) lokitiedostoon. Voit tarkastella Fail2Ban-lokeja Plesk-graafisesta käyttöliittymästä ja myös ladata ne tietokoneellesi.

Fail2Ban-lokitiedoston katselu tai lataaminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”).

3. Siirry ”Lokit”-välilehdelle ja napsauta lokitiedostoa katsoaksesi sen.

4. (Valinnainen) Napsauta lokitiedoston vieressä olevaa -kuvaketta ladataksesi sen tietokoneellesi.

Kieltojen aktivointi ja deaktivointi

Jotta Fail2Ban suojaisi tiettyä Plesk-palvelua, vastaavan kiellon on oltava olemassa ja aktivoituna. Plesk sisältää useita kieltoja, jotka kattavat useimmat Plesk-palvelut valmiina. Lisäksi voit lisätä manuaalisesti mukautettuja kieltoja.

Kiellon aktivoiminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Valitse yksi tai useampi kielto ja napsauta Ota käyttöön -painiketta. Tämä painike on käytettävissä vain, kun Fail2Ban-palvelu on käynnissä (”Ota tunkeutumisen tunnistus käyttöön” -valintaruutu on valittuna ”Asetukset”-välilehdellä).

Valittu<b>(</b>t<b>)</b> kielto<b>(</b>t<b>)</b> ovat nyt aktiivisia. Fail2Ban kieltää nyt aktivoitujen kieltojen laukaisemat IP-osoitteet.

Kiellon deaktivoiminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Valitse yksi tai useampi kielto ja napsauta Sammuta-painiketta.

Valittu<b>(</b>t<b>)</b> kielto<b>(</b>t<b>)</b> ovat nyt passiivisia. Fail2Ban ei enää kiellä IP-osoitteita, jotka laukaisisivat deaktivoidut kiellot. Lisäksi kaikkien deaktivoitujen kieltojen kieltämät IP-osoitteet on nyt poistettu kielloista.

Mukautettujen kieltojen lisääminen ja poistaminen

Jos mikään Plesk-oletuskielloista ei kata tiettyä palvelua tai suojaa tiettyä hyökkäystä vastaan, voit korjata ongelman lisäämällä mukautetun kiellon.

Mukautetun kiellon lisääminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Napsauta Lisää kielto.

4. Anna kiellolle nimi kirjoittamalla se kohtaan ”Nimi”.

5. Valitse suodatin, jota kielto käyttää, valikosta ”Suodatin”. Voit käyttää yhtä oletussuodattimista tai itse lisäämääsi suodatinta.

6. Lisää yksi tai useampi kieltotoiminto, joka suoritetaan aina, kun kielto laukeaa, joko kirjoittamalla ne vapaamuotoisesti tai valitsemalla yksi neljästä esimääritetystä toiminnosta valikosta ”Toiminto” ja napsauttamalla sitten Lisää. Seuraavat esimääritetyt toiminnot ovat käytettävissä:

   • iptables kieltää kiellon laukaisseen IP-osoitteen yhdeltä portilta. Määritä lisättävän palomuurisäännön parametrit, esimerkiksi:

     iptables[chain="INPUT", name="ssh", port="22", protocol="tcp"]

   • iptables-multiport kieltää kiellon laukaisseen IP-osoitteen useilta porteilta. Määritä lisättävän palomuurisäännön parametrit, esimerkiksi:

     iptables-multiport[chain="INPUT", name="apache", port="80,443", protocol="tcp"]

   • iptables-allports kieltää hyökkääjän kaikilta porteilta. Muita parametreja kuin nimeä ei tarvitse määrittää, esimerkiksi:

     iptables-allports[name=recidive]

   • sendmail lähettää sähköposti-ilmoituksen määritettyyn sähköpostiosoitteeseen. Määritä kohdesähköpostiosoite, esimerkiksi:

     sendmail[mailcmd='/usr/sbin/sendmail -f "fail2ban@example.com" "mail@example.com"', dest="root", sender="fail2ban", sendername="Fail2Ban", name="default"]

     Tässä esimerkissä sähköposti osoitteesta ”fail2ban@example.com” lähetetään osoitteeseen ”mail@example.com”.

7. Määritä yksi tai useampi lokitiedosto, jota Fail2Ban skannaa valitulla suodattimella kohdassa ”Lokin polku”.

8. Määritä kiellon pituus sekunteina kohdassa ”IP-osoitteen kieltoaika”.

9. Määritä epäonnistuneiden kirjautumisyritysten määrä, joka tarvitaan kiellon antamiseen: ”Epäonnistuneiden kirjautumisyritysten enimmäismäärä”.

10. Valitse OK.

Kielto on nyt olemassa ja aktiivinen. Löydät sen ”Kiellot”-välilehdeltä.

Yhden tai useamman mukautetun kiellon poistaminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Valitse yksi tai useampi mukautettu kielto, napsauta Poista ja napsauta sitten Kyllä, poista.

Valittu<b>(</b>t<b>)</b> kielto<b>(</b>t<b>)</b> on nyt poistettu, eivätkä ne enää näy ”Kiellot”-välilehdellä. Lisäksi poistettujen kieltojen kieltämät IP-osoitteet on nyt poistettu kielloista.

Kieltojen muokkaaminen

Voit muokata sekä oletus- että mukautettujen kieltojen ominaisuuksia.

Olemassa olevan kiellon asetusten muuttaminen:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Napsauta kiellon nimeä ja napsauta sitten Muuta asetuksia.

4. Muokkaa kiellon asetuksia ja napsauta sitten OK.

Kiellon uudet asetukset ovat nyt voimassa.

Suodattimien lisääminen ja poistaminen

Suodatin on säännöllisten lausekkeiden yhdistelmä, jota käytetään lokitiedostojen skannaamiseen hyökkäyksiin tai todennusvirheisiin liittyvien tiettyjen kaavojen varalta. Yleensä tarvitset vähintään yhden suodattimen jokaiselle palvelulle, jonka haluat Fail2Banin suojaavan, koska Apache-lokitiedostojen epäsäännöllisyyksien löytämiseen tarkoitettu suodatin ei sovellu Postfixin kanssa käytettäväksi, ja päinvastoin.

Lisää suodatin:

1. Kirjaudu Pleskiin.

2. Siirry kohtaan Työkalut ja asetukset/u00a0>/u00a0**IP-osoitteen kieltäminen (Fail2Ban)**/u00a0(kohdassa ”Suojaus”) ja siirry sitten ”Kiellot”-välilehdelle.

3. Napsauta Hallitse suodattimia ja napsauta sitten Lisää suodatin.

4. Määritä suodattimen nimi ja säännöllinen lauseke, jota käytetään lokitiedostojen rivien vastaavuuden tarkistamiseen.

Brute-force-suojauksen määrittäminen

Kirjautumisyritysten nopeusrajoitus parantaa suojausta Plesk-palvelimen brute-force-hyökkäyksiä vastaan. Kirjautumisten brute-force-suojaus on oletusarvoisesti käytössä, ja se koskee Plesk-käyttöliittymän ja API:n kirjautumisia sekä salasanan palautuspyyntöjä.

Oletusarvoisesti 5 kirjautumisyrityksen jälkeen IP-osoitetta rajoitetaan 300 sekunnin ajan, ennen kuin sen sallitaan kirjautua uudelleen sisään. Brute-force-suojauksen asetusten määrittämiseksi lisää panel.ini-tiedostoon alla olevan kaavan mukaisia rivejä (Lisätietoja panel.ini-tiedoston määrittämisestä):

[security]
bruteforceProtection.enabled = true
bruteforceProtection.rateLimit = 5
bruteforceProtection.rateLimitPeriod = 300

Muokkaa näitä asetuksia, jos haluat poistaa brute-force-suojauksen käytöstä tai muuttaa nopeusrajoitusta ja nopeusrajoituksen aikaväliä.

Plesk Fail2Ban -oletuskiellot

Plesk sisältää valmiiksi useita esimääritettyjä kieltoja. Ne kattavat kaikki isännöintipalvelut (WWW-palvelin, postipalvelin, FTP-palvelin ja niin edelleen). Seuraavat esimääritetyt kiellot ovat käytettävissä:

Plesk Fail2Ban -oletussuodattimet

Plesk sisältää valmiiksi useita esimääritettyjä suodattimia. Ne kattavat kaikki isännöintipalvelut (WWW-palvelin, postipalvelin, FTP-palvelin ja niin edelleen). Näitä suodattimia käytetään Plesk-oletuskielloissa, ja niitä voi käyttää myös mukautettujen kieltojen kanssa. Seuraavat esimääritetyt suodattimet ovat käytettävissä: