जोशरा OSE को ब्रूट फोर्स और DoS अटैक से बचाना

सूचना सुरक्षा सुनिश्चित करने के लिए जिम्ब्रा सहयोग सूट ओपन-सोर्स संस्करण में अपने शस्त्रागार में कई शक्तिशाली उपकरण हैं। उनमें से, पोस्टस्क्रीन , मेल सर्वर को बॉटनेट्स के हमलों से बचाने के लिए एक समाधान है, ClamAV एक एंटीवायरस है जो मैलवेयर संक्रमणों के लिए आने वाली फ़ाइलों और पत्रों को स्कैन कर सकता है, और SpamAssassin आज तक के सबसे अच्छे स्पैम फिल्टर में से एक है। हालांकि, ये उपकरण जोम्बरा OSE को एक प्रकार के हमले जैसे कि क्रूर बल से बचाने में असमर्थ हैं। एक विशेष शब्दकोश में पासवर्ड का सबसे सुरुचिपूर्ण नहीं है, लेकिन अभी भी काफी प्रभावी गणना है, न केवल सभी आगामी परिणामों के साथ एक सफल हैक की संभावना के साथ, बल्कि सर्वर पर एक महत्वपूर्ण भार के निर्माण के साथ, जो कि ज़िचरा OSE के साथ सर्वर को हैक करने के असफल प्रयासों को संसाधित करता है।



सिद्धांत रूप में, आप मानक जोन्ड्रा ओएसई टूल्स का उपयोग करके खुद को क्रूर बल से बचा सकते हैं। पासवर्ड सुरक्षा नीति सेटिंग्स आपको विफल पासवर्ड प्रयासों की संख्या निर्धारित करने की अनुमति देती हैं, जिसके बाद संभावित रूप से हमला किया गया खाता अवरुद्ध हो जाता है। इस दृष्टिकोण के साथ मुख्य समस्या यह है कि ऐसी स्थितियाँ उत्पन्न होती हैं जिनमें एक या एक से अधिक कर्मचारियों के खातों को एक क्रूर बल के हमले के कारण अवरुद्ध किया जा सकता है, जिसमें उन्हें कुछ भी नहीं करना पड़ता है, और कर्मचारियों के सरल कार्य से कंपनी को बड़ा नुकसान हो सकता है। यही कारण है कि जानवर बल के खिलाफ सुरक्षा का यह विकल्प लागू नहीं करने के लिए सबसे अच्छा है।



ब्रूट फोर्स से बचाने के लिए, DoSFilter नामक एक विशेष उपकरण बहुत बेहतर है, जो कि रोज़्रा OSE में बनाया गया है और यह स्वचालित रूप से HTTPra के माध्यम से Acronra OSE से डिस्कनेक्ट हो सकता है। दूसरे शब्दों में, DoSFilter के संचालन का सिद्धांत पोस्टस्क्रीन के संचालन के सिद्धांत के समान है, केवल एक अन्य प्रोटोकॉल के लिए उपयोग किया जाता है। मूल रूप से एक उपयोगकर्ता द्वारा किए जाने वाले कार्यों की संख्या को सीमित करने के लिए डिज़ाइन किया गया है, DoSFilter भी क्रूर बल के खिलाफ सुरक्षा प्रदान कर सकता है। जिंक्रा में बिल्ट-इन टूल से इसका मुख्य अंतर यह है कि एक निश्चित संख्या में असफल प्रयासों के बाद, यह उपयोगकर्ता को खुद को ब्लॉक नहीं करता है, लेकिन आईपी एड्रेस जिसमें से एक या दूसरे खाते में लॉग इन करने के लिए कई प्रयास किए जाते हैं। इसके लिए धन्यवाद, सिस्टम प्रशासक न केवल खुद को तेज बल से बचा सकता है, बल्कि विश्वसनीय आईपी पते और सबनेट की सूची में अपनी कंपनी के आंतरिक नेटवर्क को जोड़कर कंपनी के कर्मचारियों को रोकने से भी बच सकता है।

DoSFilter का बड़ा प्लस यह है कि एक या दूसरे खाते में प्रवेश करने के कई प्रयासों के अलावा, इस टूल का उपयोग करके आप उन साइबर अपराधियों को स्वचालित रूप से ब्लॉक कर सकते हैं, जिन्होंने कर्मचारी के प्रमाणीकरण डेटा को अपने कब्जे में ले लिया, और फिर सफलतापूर्वक अपने खाते में लॉग इन किया और सर्वर को सैकड़ों अनुरोध भेजने शुरू कर दिए।

आप निम्नलिखित कंसोल कमांड का उपयोग करके DoSFilter को कॉन्फ़िगर कर सकते हैं:

• zimbraHttpDosFilterMaxRequestsPerSec - इस कमांड से आप एक उपयोगकर्ता के लिए अनुमत अधिकतम कनेक्शन सेट कर सकते हैं। डिफ़ॉल्ट रूप से, यह मान 30 कनेक्शन है।
• zimbraHttpDosFilterDelayMillis - इस कमांड का उपयोग करके, आप पिछले कमांड द्वारा निर्धारित सीमा से अधिक कनेक्शन के लिए मिलीसेकंड में देरी सेट कर सकते हैं। पूर्णांक मानों के अलावा, व्यवस्थापक 0 निर्दिष्ट कर सकता है ताकि कोई विलंब न हो, और -1 भी ताकि सभी सीमाएँ जो निर्दिष्ट सीमा से अधिक हो, बस बाधित हो। डिफ़ॉल्ट रूप से, यह मान -1 है।
• zimbraHttpThrottleSafeIPs - इस आदेश का उपयोग करके, प्रशासक भरोसेमंद आईपी पते और सबनेट को निर्दिष्ट कर सकता है जो उपरोक्त प्रतिबंधों से प्रभावित नहीं होंगे। ध्यान दें कि इस कमांड का सिंटैक्स वांछित परिणाम के आधार पर भिन्न हो सकता है। इसलिए, उदाहरण के लिए, कमांड zmprov mcf zimbraHttpThrottleSafeIPs 127.0.0.1 दर्ज करके, आप पूरी सूची को पूरी तरह से फिर से लिखते हैं और इसमें केवल एक आईपी पता छोड़ते हैं। यदि आप कमांड zmprov mcf + zimbraHttpThrottleSafeIPs 127.0.0.1 दर्ज करते हैं, तो आपके द्वारा दर्ज किया गया आईपी पता श्वेत सूची में जोड़ दिया जाएगा। इसी तरह, एक घटाव संकेत का उपयोग करके, आप किसी भी आईपी को अनुमति की सूची से हटा सकते हैं।

ध्यान दें कि Zxtras सूट प्रो एक्सटेंशन का उपयोग करते समय DoSFilter कई समस्याओं का कारण बन सकता है। उनसे बचने के लिए, हम कमांड zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100 का उपयोग करके एक साथ कनेक्शन की संख्या 30 से बढ़ाकर 100 करने की सलाह देते हैं । इसके अलावा, हम एंटरप्राइज़ के आंतरिक नेटवर्क को अनुमत सूची में जोड़ने की सलाह देते हैं। यह कमांड zmprov mcf + zimbraHttpThrottleSafeIPs 192.168.0.0/24 का उपयोग करके किया जा सकता है। DoSFilter में कोई भी परिवर्तन करने के बाद, zmmailboxdctl पुनरारंभ कमांड का उपयोग करके मेल सर्वर को पुनः आरंभ करना सुनिश्चित करें।

DoSFilter का मुख्य नुकसान यह है कि यह अनुप्रयोग स्तर पर काम करता है और इसलिए केवल हमलावरों की क्षमता को सर्वर पर विभिन्न क्रियाओं को सीमित कर सकता है, बिना उत्तर को जोड़ने की क्षमता को सीमित किए। इस वजह से, सर्वर को भेजे गए प्रमाणीकरण या पत्र भेजने के अनुरोध, हालांकि वे स्पष्ट रूप से विफल होते हैं, फिर भी एक अच्छा पुराना डीओएस हमला होगा, जिसे इतने उच्च स्तर पर रोका नहीं जा सकता।

जोम्ब्रा OSE के साथ अपने कॉर्पोरेट सर्वर को पूरी तरह से सुरक्षित करने के लिए, आप Fail2ban जैसे एक समाधान का उपयोग कर सकते हैं, जो एक फ्रेमवर्क है जो दोहराया क्रियाओं के लिए सूचना प्रणाली लॉग की लगातार निगरानी करने और फ़ायरवॉल सेटिंग्स को बदलकर हमलावर को अवरुद्ध करने में सक्षम है। इतने निचले स्तर पर ब्लॉक करने से आप सर्वर से आईपी-कनेक्शन के चरण में ही हमलावरों को निष्क्रिय कर सकते हैं। इस प्रकार, Fail2Ban DoSFilter के साथ निर्मित सुरक्षा को पूरी तरह से पूरक कर सकता है। आइए जानें कि आप ज़िलेरा OSE के साथ Fail2Ban मित्र कैसे बना सकते हैं और इससे आपके उद्यम की IT अवसंरचना की सुरक्षा बढ़ सकती है।

किसी भी अन्य एंटरप्राइज-क्लास एप्लिकेशन की तरह, जोम्बा सहयोग सूट ओपन-सोर्स संस्करण अपने काम के विस्तृत लॉग को बनाए रखता है। उनमें से ज्यादातर / ऑप्ट / zimbra / लॉग / फ़ोल्डर में फ़ाइलों के रूप में संग्रहीत हैं। यहाँ उनमें से कुछ ही हैं:

• मेलबॉक्स.लॉग - जेट्टी मेल सेवा लॉग
• ऑडिट.लॉग - प्रमाणीकरण लॉग
• clamd.log - एंटीवायरस लॉग
• freshclam.log - एंटीवायरस अपडेट लॉग
• convertd.log - अनुलग्नक कनवर्टर लॉग
• zimbrastats.csv - सर्वर प्रदर्शन लॉग

जोम्बा लॉग को /var/log/zimbra.log फ़ाइल में भी पाया जा सकता है, जहाँ पोस्टफिक्स और जोम्ब्रा के लॉग स्वयं बनाए हुए हैं।

अपने सिस्टम को ब्रूट फोर्स से बचाने के लिए, हम मेलबॉक्स.लॉग , ऑडिट.लॉग और zimbra.log की निगरानी करेंगे।

सब कुछ काम करने के लिए, यह आवश्यक है कि आपके सर्वर पर जोम्ब्रा OSE के साथ Fail2Ban और iptables स्थापित हों। यदि आप उबंटू का उपयोग करते हैं, तो आप dpkg -s fail2ban कमांड का उपयोग करके ऐसा कर सकते हैं, लेकिन यदि आप CentOS का उपयोग करते हैं, तो आप यम सूची स्थापित विफलता 2ban कमांड का उपयोग करके इसे सत्यापित कर सकते हैं। इस घटना में कि आपके पास Fail2Ban स्थापित नहीं है, तो इसे स्थापित करने में कोई समस्या नहीं होगी, क्योंकि यह पैकेज लगभग सभी मानक रिपॉजिटरी में है।

सभी आवश्यक सॉफ़्टवेयर स्थापित होने के बाद, आप Fail2Ban को कॉन्फ़िगर करने के लिए आगे बढ़ सकते हैं। ऐसा करने के लिए, एक कॉन्फ़िगरेशन फ़ाइल बनाएं /etc/fail2ban/filter.d/zimbra.conf , जिसमें हम जोम्ब्रा OSE लॉग के लिए नियमित अभिव्यक्ति लिखते हैं जो गलत लॉगिन प्रयासों के अनुरूप होगा और Fail2Ban तंत्र को ट्रिगर करेगा। यहाँ zimbra.conf की सामग्री का एक उदाहरण है, जो एक प्रमाणीकरण प्रयास विफल होने पर जोम्ब्रा OSE द्वारा उत्पन्न विभिन्न त्रुटियों के अनुरूप नियमित अभिव्यक्तियों का एक सेट है:

# Fail2Ban configuration file [Definition] failregex = \[ip=<HOST>;\] account - authentication failed for .* \(no such account\)$ \[ip=<HOST>;\] security - cmd=Auth; .* error=authentication failed for .*, invalid password;$ ;oip=<HOST>;.* security - cmd=Auth; .* protocol=soap; error=authentication failed for .* invalid password;$ ;oip=<HOST>;.* security - cmd=Auth; .* protocol=imap; error=authentication failed for .* invalid password;$ \[oip=<HOST>;.* SoapEngine - handler exception: authentication failed for .*, account not found$ WARN .*;ip=<HOST>;ua=ZimbraWebClient .* security - cmd=AdminAuth; .* error=authentication failed for .*;$ ignoreregex = 

जोम्ब्रा ओएसई के लिए नियमित अभिव्यक्ति संकलित किए जाने के बाद, यह फेल 2बान के कॉन्फ़िगरेशन को संपादित करना शुरू करने का समय है। इस उपयोगिता के लिए सेटिंग्स /etc/fail2ban/jail.conf फ़ाइल में स्थित हैं। बस मामले में, हम कमांड cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak का उपयोग करके इसका बैकअप लेंगे । उसके बाद, इस फाइल को निम्न फॉर्म में लाएँ:

 # Fail2Ban configuration file [DEFAULT] ignoreip = 192.168.0.1/24 bantime = 600 findtime = 600 maxretry = 5 backend = auto [ssh-iptables] enabled = false filter = sshd action = iptables[name=SSH, port=ssh, protocol=tcp] sendmail-whois[name=SSH, dest=admin@company.ru, sender=fail2ban@company.ru] logpath = /var/log/messages maxretry = 5 [sasl-iptables] enabled = false filter = sasl backend = polling action = iptables[name=sasl, port=smtp, protocol=tcp] sendmail-whois[name=sasl, dest=support@company.ru] logpath = /var/log/zimbra.log [ssh-tcpwrapper] enabled = false filter = sshd action = hostsdeny sendmail-whois[name=SSH, dest=support@ company.ru] ignoreregex = for myuser from logpath = /var/log/messages [zimbra-account] enabled = true filter = zimbra action = iptables-allports[name=zimbra-account] sendmail[name=zimbra-account, dest=support@company.ru ] logpath = /opt/zimbra/log/mailbox.log bantime = 600 maxretry = 5 [zimbra-audit] enabled = true filter = zimbra action = iptables-allports[name=zimbra-audit] sendmail[name=Zimbra-audit, dest=support@company.ru] logpath = /opt/zimbra/log/audit.log bantime = 600 maxretry = 5 [zimbra-recipient] enabled = true filter = zimbra action = iptables-allports[name=zimbra-recipient] sendmail[name=Zimbra-recipient, dest=support@company.ru] logpath = /var/log/zimbra.log bantime = 172800 maxretry = 5 [postfix] enabled = true filter = postfix action = iptables-multiport[name=postfix, port=smtp, protocol=tcp] sendmail-buffered[name=Postfix, dest=support@company.ru] logpath = /var/log/zimbra.log bantime = -1 maxretry = 5 

हालांकि यह उदाहरण काफी सार्वभौमिक है, यह कुछ मापदंडों की व्याख्या करने के लायक है, जिन्हें आप Fail2Ban को स्थापित करते समय बदलना चाहते हैं:

• इग्नोरिप - इस पैरामीटर के साथ आप एक विशिष्ट आईपी या सबनेट निर्दिष्ट कर सकते हैं, जिसमें से Fail2Ban का पता नहीं होना चाहिए। आमतौर पर, एंटरप्राइज़ और अन्य विश्वसनीय पते के आंतरिक नेटवर्क को अनदेखा सूची में जोड़ा जाता है।
• बैंमटाइम - वह समय जिसके लिए घुसपैठिया प्रतिबंध लगाएगा । सेकंड में मापा गया। -1 के मूल्य का मतलब असीमित प्रतिबंध है।
• Maxretry - एक आईपी पते की अधिकतम संख्या सर्वर तक पहुंचने का प्रयास कर सकती है।
• Sendmail - एक सेटिंग जो आपको Fail2Ban के संचालन के बारे में ईमेल अलर्ट स्वचालित रूप से भेजने की अनुमति देती है।
• खोज समय - एक सेटिंग जो आपको समय अंतराल सेट करने की अनुमति देती है जिसके बाद आईपी पते फिर से सर्वर तक पहुंचने की कोशिश कर सकते हैं अधिकतम असफल प्रयासों के बाद सर्वर समाप्त हो गया है (अधिकतम पैरामीटर)

फ़ाइल को Fail2Ban सेटिंग्स के साथ सहेजने के बाद, यह सेवा विफल 2ban पुनरारंभ कमांड का उपयोग करके केवल इस उपयोगिता को पुनरारंभ करने के लिए बनी हुई है। पुनः आरंभ करने के बाद, मुख्य जोम्बा लॉग्स की नियमित अभिव्यक्ति मिलान के लिए लगातार निगरानी की जाएगी। इसके लिए धन्यवाद, व्यवस्थापक वस्तुतः एक हमलावर की किसी भी संभावना को समाप्त करने में सक्षम हो जाएगा, जो न केवल जिम्बाड़ा सहयोग सुइट ओपन-सोर्स एडिशन मेलबॉक्सेज़ है, बल्कि जोन्डोरा ओएसई के भीतर चलने वाली सभी सेवाओं की सुरक्षा भी करता है, साथ ही अनधिकृत पहुंच प्राप्त करने के किसी भी प्रयास के बारे में पता होना चाहिए।

Zextras Suite से संबंधित सभी प्रश्नों के लिए, आप कंपनी के प्रतिनिधि "Zextras" Ekaterina Triandafilidi से ई-मेल katerina@zextras.com पर संपर्क कर सकते हैं।